Supplemento ordinario alla “Gazzetta Ufficiale,, n. 303 del 29 dicembre 2016 - Serie generale 


Spediz. abb. post. - art. 1, comma 1 
Legge 27-02-2004, n. 46 - Filiale di Roma 


GAZZETT UFFICIALE 


DELLA REPUBBLICA ITALIANA 
SI PUBBLICA TUTTI | 


DIREZIONE E REDAZIONE PRESSO IL MINISTERO DELLA GIUSTIZIA - UFFICIO PUBBLICAZIONE LEGGI E DECRETI - VIA ARENULA, 70 - 00186 ROMA 
AMMINISTRAZIONE PRESSO L'ISTITUTO POLIGRAFICO E ZECCA DELLO STATO - VIA SALARIA, 691 - 00138 ROMA - CENTRALINO 06-85081 - LIBRERIA DELLO STATO 
PIAZZA G. VERDI, 1 - 00198 ROMA 


GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


Autorizzazioni n. 1/2016, n. 2/2016, n. 3/2016, 
n. 4/2016, n. 5/2016, n. 6/2016, n. 7/2016, n. 8/2016, 
n. 9/2016. 


29-12-2016 Supplemento ordinario n. 3932 alla GAZZETTA UFFICIALE Serie generale - n. 303 


SOMMARIO 


GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili nei rapporti di lavoro. (Autorizzazione 
M DO VI0) (0A), tdi beniiataaaini 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale. 
(Autorizzazione n: 2/2010). (10408984)... 30 RETE 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili da parte degli organismi di tipo associa- 
tivo e delle fondazioni. (Autorizzazione n. 3/2016). (16A08985).............L 00 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili da parte dei liberi professionisti. (Autoriz- 
ZAzionien-4/4010). (I0&08960) serpico eta 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili da parte di diverse categorie di titolari. 
(Autorizzazione n: 35/2010). (16408987). scsssiata rari ira 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili da parte degli investigatori privati. (Au- 
lorizzazione 1 0/2010). (10AOB9BB) + sisi ii 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati giudiziari da parte di privati, di enti pubblici eco- 
nomici e di soggetti pubblici. (Autorizzazione n. 7/2016). (16A08989).................. 


Pag. 


Pag. 


Pag. 


Pag. 


Pag. 


Pag. 


Pag. 


ll 


14 


19 


22 


29-12-2016 Supplemento ordinario n. 3932 alla GAZZETTA UFFICIALE Serie generale - n. 303 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione generale al trattamento dei dati genetici. (Autorizzazione 
182010), (00 Pag. 27 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione generale al trattamento dei dati personali effettuato per scopi di ricerca 
Scientifica: (Autorizzazione n 92010). (I6A08991)) scsi poi ae Pag. 37 


29-12-2016 


Supplemento ordinario n. 3932 alla GAZZETTA UFFICIALE 


Serie generale - n. 303 


DECRETI E DELIBERE DI ALTRE AUTORITÀ 


GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili nei rap- 
porti di lavoro. (Autorizzazione n. 1/2016). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


In data odierna, con la partecipazione del dott. Anto- 
nello Soro, presidente, della dott.ssa Augusta Iannini, 
vicepresidente, della dott.ssa Giovanna Bianchi Clerici e 
della prof.ssa Licia Califano, componenti, e del dott. Giu- 
seppe Busia, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, re- 
cante il Codice in materia di protezione dei dati personali 
(di seguito «Codice»); 


Visto, in particolare, l’art. 4, comma 1, lettera d), del 
citato Codice, il quale individua i dati sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del 
Codice, i soggetti privati e gli enti pubblici economici 
possono trattare i dati sensibili solo previa autorizzazio- 
ne di questa Autorità e, ove necessario, con il consenso 
scritto degli interessati, nell’osservanza dei presupposti 
e dei limiti stabiliti dal Codice, nonché dalla legge e dai 
regolamenti; 


Visto il comma 4, lettera d), del medesimo art. 26, il 
quale stabilisce che i dati sensibili possono essere ogget- 
to di trattamento anche senza consenso, previa autoriz- 
zazione del Garante, quando il trattamento medesimo è 
necessario per adempiere a specifici obblighi o compiti 
previsti dalla legge, da un regolamento o dalla normativa 
dell’Unione europea per la gestione del rapporto di la- 
voro, anche in materia di igiene e sicurezza del lavoro e 
della popolazione e di previdenza e assistenza, nei limiti 
previsti dall’autorizzazione e ferme restando le disposi- 
zioni del codice di deontologia e di buona condotta di cui 
all’art. 111 del Codice; 


Considerato che il trattamento dei dati in questione può 
essere autorizzato dal Garante anche d’ufficio con prov- 
vedimenti di carattere generale, relativi a determinate ca- 
tegorie di titolari o di trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di carattere generale 
sinora rilasciate sono risultate uno strumento idoneo per 
prescrivere misure uniformi a garanzia degli interessati, 
rendendo altresì superflua la richiesta di singoli provve- 
dimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 31 dicembre 2016, 
armonizzando le prescrizioni già impartite alla luce 
dell’esperienza maturata; 

Ritenuto opportuno che anche tali nuove autorizzazioni 
siano a tempo determinato, ai sensi dell’art. 41, comma 5, 
del Codice, e, in particolare, efficaci fino al 24 maggio 


2018, tenuto conto che a decorrere dal 25 maggio 2018 
sarà applicabile il regolamento (UE) 2016/679, entrato in 
vigore il 24 maggio 2016, relativo alla protezione delle 
persone fisiche con riguardo al trattamento dei dati per- 
sonali, nonché alla libera circolazione di tali dati e che 
abroga la direttiva 95/46/CE; 


Considerata la necessità di garantire il rispetto di alcuni 
princìpi volti a ridurre al minimo i rischi di danno o di 
pericolo che i trattamenti potrebbero comportare per 1 di- 
ritti e le libertà fondamentali, nonché per la dignità delle 
persone, e, in particolare, per il diritto alla protezione dei 
dati personali sancito dall’art. 1 del Codice; 

Considerato che un elevato numero di trattamenti di 
dati sensibili è effettuato nell’ambito dei rapporti di 
lavoro; 

Visto l’art. 11, comma 2, del Codice, il quale stabilisce 
che i dati trattati in violazione della disciplina rilevante 
in materia di trattamento di dati personali non possono 
essere utilizzati; 

Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all'Allegato 8) al medesimo Codice 
recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 


Visti gli articoli 42 e seguenti del Codice in materia di 
trasferimento di dati personali all’estero; 

Visto l’art. 167 del Codice; 

Visti gli atti d’ufficio; 

Viste le osservazioni dell'Ufficio formulate dal segre- 


tario generale ai sensi dell’art. 15 del regolamento del Ga- 
rante n. 1/2000; 


Relatore la prof.ssa Licia Califano; 


Autorizza 


il trattamento dei dati sensibili di cui all’art. 4, comma 1, 
lettera d), del Codice, finalizzato alla gestione dei rapporti 
di lavoro, secondo le prescrizioni di seguito indicate. 


Prima di iniziare o proseguire il trattamento i sistemi 
informativi e i programmi informatici sono configurati 
riducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


1) Ambito di applicazione. 


La presente autorizzazione è rilasciata: 


a) alle persone fisiche e giuridiche, alle imprese, 
anche sociali, agli enti, alle associazioni e agli organi- 
smi che sono parte di un rapporto di lavoro o che uti- 
lizzano prestazioni lavorative anche atipiche, parziali o 
temporanee, o che comunque conferiscono un incarico 
professionale alle figure indicate al successivo punto 2, 
lettere b) e c); 
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b) ad organismi paritetici o che gestiscono osser- 
vatori in materia di lavoro, previsti dalla normativa 
dell’Unione europea, dalle leggi, dai regolamenti o dai 
contratti collettivi anche aziendali; 


l’autorizzazione riguarda anche l’attività svolta: 


c) dal medico competente in materia di igiene e di si- 
curezza del lavoro, in qualità di libero professionista o di 
dipendente dei soggetti di cui alla lettera a) o di strutture 
convenzionate; 


d) dal rappresentante dei lavoratori per la sicurezza, 
anche territoriale e di sito; 


e) da associazioni, organizzazioni, federazioni o 
confederazioni rappresentative di categorie di datori di 
lavoro, al solo fine di perseguire le finalità di cui al punto 
3), lettera A). 


2) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare i dati sensibili attinenti: 


a) a lavoratori subordinati, anche se parti di un con- 
tratto di apprendistato, o di formazione e lavoro, o di in- 
serimento, o di lavoro ripartito, o di lavoro intermittente 
o a chiamata, o di lavoro occasionale ovvero prestatori di 
lavoro nell’ambito di un contratto di somministrazione di 
lavoro, o in rapporto di tirocinio, ovvero ad associati an- 
che in compartecipazione e, se necessario in base ai punti 
3) e 4), ai relativi familiari e conviventi; 


b) a consulenti e a liberi professionisti, ad agenti, 
rappresentanti e mandatari; 


c) a soggetti che effettuano prestazioni coordinate e 
continuative, anche nella modalità di lavoro a progetto, o 
ad altri lavoratori autonomi in rapporto di collaborazione, 
anche sotto forma di prestazioni di lavoro accessorio, con 
i soggetti di cui al punto 1); 


d) a candidati all’instaurazione dei rapporti di lavoro 
di cui alle lettere precedenti, fatta salva l’ipotesi prevista 
dall’art. 26, comma 3, lettera b-bis), del Codice relativa- 
mente ai dati sensibili indispensabili contenuti in curri- 
cula spontaneamente trasmessi dagli interessati ai fini 
dell’instaurazione di un rapporto di lavoro; 


e) a persone fisiche che ricoprono cariche sociali o 
altri incarichi nelle persone giuridiche, negli enti, nelle 
associazioni e negli organismi di cui al punto 1); 


) a terzi danneggiati nell’esercizio dell’attività lavo- 
rativa o professionale dai soggetti di cui alle precedenti 
lettere. 


3) Finalità del trattamento. 


Il trattamento dei dati sensibili deve 


indispensabile: 


a) per adempiere o per esigere l'adempimento di 
specifici obblighi o per eseguire specifici compiti previsti 
dalla normativa dell’Unione europea, da leggi, da regola- 
menti o da contratti collettivi anche aziendali, in partico- 
lare ai fini dell’instaurazione, gestione ed estinzione del 
rapporto di lavoro, nonché del riconoscimento di agevo- 
lazioni ovvero dell’erogazione di contributi, dell’applica- 
zione della normativa in materia di previdenza ed assi- 
stenza anche integrativa, o in materia di igiene e sicurezza 
del lavoro o della popolazione, nonché in materia fiscale, 
sindacale, di tutela della salute, dell’ordine e della sicu- 
rezza pubblica; 


essere 
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b) anche fuori dei casi di cui alla lettera a), in con- 
formità alla legge e per scopi determinati e legittimi, ai 
fini della tenuta della contabilità o della corresponsione 
di stipendi, assegni, premi, altri emolumenti, liberalità o 
benefici accessori; 


c) per perseguire finalità di salvaguardia della vita o 
dell’incolumità fisica del lavoratore o di un terzo; 


d) per far valere o difendere un diritto anche da parte 
di un terzo in sede giudiziaria, nonché in sede ammini- 
strativa o nelle procedure di arbitrato e di conciliazione 
nei casi previsti dalle leggi, dalla normativa dell’Unione 
europea, dai regolamenti o dai contratti collettivi, sempre 
che i dati siano trattati esclusivamente per tali finalità e 
per il periodo strettamente necessario al loro persegui- 
mento. Qualora i dati siano idonei a rivelare lo stato di 
salute e la vita sessuale, il diritto da far valere o difendere 
deve essere di rango pari a quello dell’interessato, ovvero 
consistente in un diritto della personalità o in un altro di- 
ritto o libertà fondamentale e inviolabile; 


e) per esercitare il diritto di accesso ai dati e ai docu- 
menti amministrativi, nel rispetto di quanto stabilito dalle 
leggi e dai regolamenti in materia; 


Î per adempiere ad obblighi derivanti da contratti 
di assicurazione finalizzati alla copertura dei rischi con- 
nessi alla responsabilità del datore di lavoro in materia di 
igiene e di sicurezza del lavoro e di malattie professionali 
o per i danni cagionati a terzi nell’esercizio dell’attività 
lavorativa o professionale; 

g) per garantire le pari opportunità nel lavoro; 

h) per perseguire scopi determinati e legittimi indi- 
viduati dagli statuti di associazioni, organizzazioni, fede- 
razioni o confederazioni rappresentative di categorie di 
datori di lavoro o dai contratti collettivi, in materia di as- 
sistenza sindacale ai datori di lavoro. 


4) Categorie di dati. 


Il trattamento può avere per oggetto i dati strettamente 
pertinenti ai sopra indicati obblighi, compiti o finalità che 
non possano essere adempiuti o realizzati, caso per caso, 
mediante il trattamento di dati anonimi o di dati personali 
di natura diversa, e in particolare: 


a) nell’ambito dei dati idonei a rivelare le convinzio- 
ni religiose, filosofiche o di altro genere, ovvero l’adesio- 
ne ad associazioni od organizzazioni a carattere religioso 
o filosofico, i dati concernenti la fruizione di permessi e 
festività religiose o di servizi di mensa, nonché la mani- 
festazione, nei casi previsti dalla legge, dell’obiezione di 
coscienza; 


b) nell’ambito dei dati idonei a rivelare le opinioni 
politiche, l’adesione a partiti, sindacati, associazioni od 
organizzazioni a carattere politico o sindacale, i dati con- 
cernenti l’esercizio di funzioni pubbliche e di incarichi 
politici, di attività o di incarichi sindacali (sempre che il 
trattamento sia effettuato ai fini della fruizione di permes- 
si o di periodi di aspettativa riconosciuti dalla legge 0, 
eventualmente, dai contratti collettivi anche aziendali), 
ovvero l’organizzazione di pubbliche iniziative, nonché 
i dati inerenti alle trattenute per il versamento delle quote 
di servizio sindacale o delle quote di iscrizione ad asso- 
ciazioni od organizzazioni politiche o sindacali; 


e. Ù 
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c) nell’ambito dei dati idonei a rivelare lo stato di 
salute, i dati raccolti e ulteriormente trattati in riferimen- 
to a invalidità, infermità, gravidanza, puerperio o allat- 
tamento, ad infortuni, ad esposizioni a fattori di rischio, 
all’idoneità psico-fisica a svolgere determinate mansioni, 
all’appartenenza a determinate categorie protette, nonché 
i dati contenuti nella certificazione sanitaria attestante lo 
stato di malattia, anche professionale dell’interessato, o 
comunque relativi anche all’indicazione della malattia 
come specifica causa di assenza del lavoratore. 


5) Modalità di trattamento. 


Fermi restando gli obblighi previsti dagli articoli 11 
e 14 del Codice, nonché dagli articoli 31 e seguenti del 
Codice e dall’ Allegato 8) al medesimo Codice, il tratta- 
mento dei dati sensibili deve essere effettuato unicamente 
con operazioni, nonché con logiche e mediante forme di 
organizzazione dei dati strettamente indispensabili in rap- 
porto ai sopra indicati obblighi, compiti o finalità. 

I dati sono raccolti, di regola, presso l’interessato. 


La trasmissione di dati all’interessato deve avvenire di 
regola direttamente a quest’ultimo o a un suo delegato 
(fermo restando quanto previsto dall’art. 84, comma 1, 
del Codice), in plico chiuso o con altro mezzo idoneo a 
prevenire la conoscenza da parte di soggetti non autoriz- 
zati, anche attraverso la previsione di distanze di cortesia. 


Restano inoltre fermi gli obblighi di informare l’inte- 
ressato e, ove necessario, di acquisirne il consenso scritto, 
in conformità a quanto previsto dagli articoli 13, 23 e 26 
del Codice. 


6) Conservazione dei dati. 


Nel quadro del rispetto dell’obbligo previsto 
dall’art. 11, comma 1, lettera e), del Codice, i dati sen- 
sibili possono essere conservati per un periodo non su- 
periore a quello necessario per adempiere agli obblighi 
o ai compiti di cui al punto 3), ovvero per perseguire le 
finalità ivi menzionate. A tal fine, anche mediante control- 
li periodici, deve essere verificata costantemente la stretta 
pertinenza, non eccedenza e indispensabilità dei dati ri- 
spetto al rapporto, alla prestazione o all’incarico in corso, 
da instaurare o cessati, anche con riferimento ai dati che 
l’interessato fornisce di propria iniziativa. I dati che, an- 
che a seguito delle verifiche, risultano eccedenti o non 
pertinenti o non indispensabili non possono essere utiliz- 
zati, salvo che per l’eventuale conservazione, a norma di 
legge, dell’atto o del documento che li contiene. Specifica 
attenzione è prestata per l’indispensabilità dei dati riferiti 
a soggetti diversi da quelli cui si riferiscono direttamente 
le prestazioni e gli adempimenti. 


7) Comunicazione e diffusione dei dati. 


I dati sensibili possono essere comunicati e, ove neces- 
sario, diffusi nei limiti strettamente pertinenti agli obbli- 
ghi, ai compiti o alle finalità di cui al punto 3), a soggetti 
pubblici o privati, ivi compresi organismi sanitari, casse 
e fondi di previdenza ed assistenza sanitaria integrativa 
anche aziendale, istituti di patronato e di assistenza socia- 
le, centri di assistenza fiscale, agenzie per il lavoro, asso- 
ciazioni ed organizzazioni sindacali di datori di lavoro e 
di prestatori di lavoro, liberi professionisti, società ester- 
ne titolari di un autonomo trattamento di dati e familiari 
dell’interessato. 


E e 
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Ai sensi dell’art. 26, comma 5, del Codice, i dati idonei 
a rivelare lo stato di salute non possono essere diffusi. 


8) Richieste di autorizzazione. 


I titolari dei trattamenti che rientrano nell’ambito di ap- 
plicazione della presente autorizzazione non sono tenuti 
a presentare una richiesta di autorizzazione a questa Au- 
torità, qualora il trattamento che si intende effettuare sia 
conforme alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perver- 
ranno anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante non prenderà in considerazione richieste di 
autorizzazione per trattamenti da effettuarsi in difformi- 
tà dalle prescrizioni del presente provvedimento, salvo 
che, ai sensi dell’art. 41 del Codice, il loro accoglimen- 
to sia giustificato da circostanze del tutto particolari o 
da situazioni eccezionali non considerate nella presente 
autorizzazione. 


9) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge o 
di regolamento, ovvero dalla normativa dell’Unione ecu- 
ropea, che stabiliscono divieti o limiti in materia di tratta- 
mento di dati personali e, in particolare, dalle disposizioni 
contenute: 


a) nell’art. 8 della legge 20 maggio 1970, n. 300, 
che vieta al datore di lavoro ai fini dell’assunzione e nello 
svolgimento del rapporto di lavoro, di effettuare indagini, 
anche a mezzo di terzi, sulle opinioni politiche, religiose 
o sindacali del lavoratore, nonché su fatti non rilevanti 
ai fini della valutazione dell’attitudine professionale del 
lavoratore; 


b) nell’art. 6 della legge 5 giugno 1990, n. 135, che 
vieta ai datori di lavoro lo svolgimento di indagini volte 
ad accertare, nei dipendenti o in persone prese in con- 
siderazione per l’instaurazione di un rapporto di lavoro, 
l’esistenza di uno stato di sieropositività; 


c) nelle norme in materia di pari opportunità o volte 
a prevenire discriminazioni; 


d) fermo restando quanto disposto dall’art. 8 della 
legge 20 maggio 1970, n. 300, nell’art. 10 del decreto le- 
gislativo 10 settembre 2003, n. 276, che vieta alle agen- 
zie per il lavoro e agli altri soggetti privati autorizzati o 
accreditati di effettuare qualsivoglia indagine o comun- 
que trattamento di dati ovvero di preselezione di lavo- 
ratori, anche con il loro consenso, in base alle convin- 
zioni personali, alla affiliazione sindacale o politica, al 
credo religioso, al sesso, all'orientamento sessuale, allo 
stato matrimoniale o di famiglia o di gravidanza, alla età, 
all’handicap, alla razza, all’origine etnica, al colore, alla 
ascendenza, all’origine nazionale, al gruppo linguistico, 
allo stato di salute e ad eventuali controversie con i prece- 
denti datori di lavoro, nonché di trattare dati personali dei 
lavoratori che non siano strettamente attinenti alle loro 
attitudini professionali e al loro inserimento lavorativo. 
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10) Efficacia temporale. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
regolamento. 


La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 


Il presidente 
Soro 


Il relatore 
CALIFANO 


Il segretario generale 
BusIa 


16A08983 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati idonei a rivelare lo 
stato di salute e la vita sessuale. (Autorizzazione n. 2/2016). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


In data odierna, con la partecipazione del dott. Anto- 
nello Soro, presidente, della dott.ssa Augusta Iannini, 
vicepresidente, della dott.ssa Giovanna Bianchi Clerici, 
della prof.ssa Licia Califano, componenti, e del dott. Giu- 
seppe Busia, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, re- 
cante il Codice in materia di protezione dei dati personali 
(di seguito «Codice»); 


Visto, in particolare, l’art. 4, comma 1, lettera d), del 
citato Codice, il quale individua i dati sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del 
Codice, i soggetti privati e gli enti pubblici economici 
possono trattare i dati sensibili solo previa autorizzazio- 
ne di questa Autorità e, ove necessario, con il consenso 
scritto degli interessati, nell’osservanza dei presupposti 
e dei limiti stabiliti dal Codice, nonché dalla legge e dai 
regolamenti; 

Visto l’art. 76 del Codice, secondo cui gli esercenti le 
professioni sanitarie e gli organismi sanitari pubblici, an- 
che nell’ambito di un’attività di rilevante interesse pub- 
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blico ai sensi dell’art. 85 del medesimo Codice, possono 
trattare i dati personali idonei a rivelare lo stato di sa- 
lute anche senza il consenso dell’interessato, previa au- 
torizzazione del Garante, se il trattamento riguarda dati 
e operazioni indispensabili per perseguire una finalità di 
tutela della salute o dell’incolumità fisica di un terzo o 
della collettività; 


Considerato che il trattamento dei dati in questione può 
essere autorizzato dal Garante anche d’ufficio con prov- 
vedimenti di carattere generale, relativi a determinate ca- 
tegorie di titolari o di trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di carattere generale 
sin ora rilasciate sono risultate uno strumento idoneo per 
prescrivere misure uniformi a garanzia degli interessati, 
rendendo altresì superflua la richiesta di singoli provve- 
dimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 31 dicembre 2016, 
armonizzando le prescrizioni già impartite alla luce 
dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizza- 
zioni siano provvisorie e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice e, in particolare, effica- 
ci fino al 24 maggio 2018, tenuto conto che a decorrere 
dal 25 maggio 2018 sarà applicabile il regolamento (UE) 
2016/679, entrato in vigore il 24 maggio 2016, relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE; 


Considerata la necessità di garantire il rispetto di al- 
cuni princìpi volti a ridurre al minimo i rischi di danno o 
di pericolo che i trattamenti potrebbero comportare per i 
diritti e le libertà fondamentali, nonché per la dignità del- 
le persone, e, in particolare, per il diritto alla protezione 
dei dati personali sancito dall’art. 1 del Codice, princìpi 
valutati anche sulla base delle raccomandazioni adottate 
in materia di dati sanitari dal Consiglio d’Europa ed in 
particolare dalla Raccomandazione n. R (97) 5, in base 
alla quale i dati sanitari devono essere trattati, di regola, 
solo nell’ambito dell’assistenza sanitaria o sulla base di 
regole di segretezza e di efficacia pari a quelle previste in 
tale ambito; 

Considerato che un elevato numero di trattamenti ido- 
nei a rivelare lo stato di salute e la vita sessuale è effet- 
tuato per finalità di prevenzione o di cura, per la gestione 
di servizi socio-sanitari, per ricerche scientifiche o per la 
fornitura all’interessato di prestazioni, beni o servizi; 

Visto l’art. 11, comma 2, del Codice, il quale stabilisce 
che i dati trattati in violazione della disciplina rilevante 
in materia di trattamento di dati personali non possono 
essere utilizzati; 

Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all'Allegato 8) al medesimo Codice 
recanti norme e regole sulle misure di sicurezza; 

Visto l’art. 41 del Codice; 


Visti gli articoli 42 e seguenti del Codice in materia di 
trasferimento di dati personali all’estero; 


Visto l’art. 167 del Codice; 
Visti gli atti d’ufficio; 


fe 
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Viste le osservazioni dell’Ufficio formulate dal segre- 
tario generale ai sensi dell’art. 15 del regolamento del Ga- 
rante n. 1/2000; 


Relatore la dott.ssa Giovanna Bianchi Clerici; 


Autorizza 


a) gli esercenti le professioni sanitarie a trattare i dati 
idonei a rivelare lo stato di salute, qualora i dati e le ope- 
razioni siano indispensabili per tutelare l’incolumità fisi- 
ca o la salute di un terzo o della collettività, e il consenso 
non sia prestato o non possa essere prestato per effettiva 
irreperibilità; 

b) gli organismi e le case di cura private, nonché ogni 
altro soggetto privato, a trattare con il consenso i dati ido- 
nei a rivelare lo stato di salute e la vita sessuale; 

c) gli organismi sanitari pubblici, istituiti anche presso 
università, ivi compresi i soggetti pubblici allorché agi- 
scano nella qualità di autorità sanitarie, a trattare i dati 
idonei a rivelare lo stato di salute, qualora ricorrano con- 
temporaneamente le seguenti condizioni: 


1) il trattamento sia finalizzato alla tutela dell’inco- 
lumità fisica e della salute di un terzo o della collettività; 


2) manchi il consenso (art. 76, comma 1, lettera db), 
del Codice), in quanto non sia prestato o non possa essere 
prestato per effettiva irreperibilità; 


3) non si tratti di attività amministrative correlate a 
quelle di prevenzione, diagnosi, cura e riabilitazione ai 
sensi dell’art. 85, commi 1 e 2, del Codice; 


d) anche soggetti diversi da quelli di cui alle lettere a), 
b) e c) a trattare i dati idonei a rivelare lo stato di salu- 
te e la vita sessuale, qualora il trattamento sia necessario 
per la salvaguardia della vita o dell’incolumità fisica di 
un terzo. Se la medesima finalità riguarda l’interessato 
e quest’ultimo non può prestare il proprio consenso per 
impossibilità fisica, per incapacità di agire o per incapa- 
cità d’intendere o di volere, il consenso è manifestato da 
chi esercita legalmente la potestà, ovvero da un prossimo 
congiunto, da un familiare, da un convivente o, in loro 
assenza, dal responsabile della struttura presso cui dimora 
l’interessato. 

Per l’informativa e, ove previsto, il consenso si osser- 
vano anche le disposizioni di cui agli articoli 13, 23, 26 e 
da 75 a 82 del Codice. 


1) Ambito di applicazione e finalità del trattamento. 


1.1. L'autorizzazione è rilasciata: 

a) ai medici-chirurghi, ai farmacisti, agli odontoiatri, 
agli psicologi e agli altri esercenti le professioni sanitarie 
iscritti in albi o in elenchi; 

b) al personale sanitario infermieristico, tecnico e 
della riabilitazione che esercita l’attività in regime di li- 
bera professione; 

c) alle istituzioni e agli organismi sanitari privati, 
anche quando non operino in rapporto con il servizio sa- 
nitario nazionale. 

In tali casi, l’autorizzazione è rilasciata anche per con- 
sentire ai destinatari di adempiere o di esigere l’adempi- 
mento di specifici obblighi o di eseguire specifici compiti 
previsti da leggi, dalla normativa dell’Unione europea 
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o da regolamenti, in particolare in materia di igiene e di 
sanità pubblica, di prevenzione delle malattie professio- 
nali e degli infortuni, di diagnosi e cura, ivi compresi i 
trapianti di organi e tessuti, di riabilitazione degli stati di 
invalidità e di inabilità fisica e psichica, di profilassi delle 
malattie infettive e diffusive, di tutela della salute menta- 
le, di assistenza farmaceutica, di medicina scolastica e di 
assistenza sanitaria alle attività sportive o di accertamen- 
to, in conformità alla legge, degli illeciti previsti dall’or- 
dinamento sportivo. Il trattamento può riguardare anche 
la compilazione di cartelle cliniche, di certificati e di altri 
documenti di tipo sanitario, ovvero di altri documenti re- 
lativi alla gestione amministrativa la cui utilizzazione sia 
necessaria per i fini appena indicati. 


Qualora il perseguimento di tali fini richieda l’esple- 
tamento di compiti di organizzazione o di gestione am- 
ministrativa, i destinatari della presente autorizzazione 
devono esigere che i responsabili e gli incaricati del trat- 
tamento preposti a tali compiti osservino le stesse regole 
di segretezza alle quali sono sottoposti i medesimi desti- 
natari della presente autorizzazione, nel rispetto di quanto 
previsto anche dall’art. 83, comma 1, del Codice. 


1.2. L'autorizzazione è rilasciata, altresì, ai seguenti 
soggetti: 

a) alle persone fisiche o giuridiche, agli enti, alle 
associazioni e agli altri organismi privati, per scopi di 
ricerca scientifica, anche statistica, finalizzata alla tutela 
della salute dell’interessato, di terzi o della collettività in 
campo medico, biomedico o epidemiologico, allorché si 
debba intraprendere uno studio delle relazioni tra i fattori 
di rischio e la salute umana anche con riguardo a studi 
nell’ambito della sperimentazione clinica di farmaci, o 
indagini su interventi sanitari di tipo diagnostico, tera- 
peutico o preventivo, ovvero sull’utilizzazione di struttu- 
re socio-sanitarie, e la disponibilità di dati solo anonimi 
su campioni della popolazione non permetta alla ricerca 
di raggiungere i suoi scopi. In tali casi, il trattamento può 
comprendere anche dati idonei a rivelare la vita sessua- 
le e l’origine razziale ed etnica solo ove indispensabili 
per il raggiungimento delle finalità della ricerca. Inoltre, 
occorre acquisire il consenso (in conformità a quanto pre- 
visto dagli articoli 106, 107 e 110 del Codice), e il trat- 
tamento successivo alla raccolta non deve permettere di 
identificare gli interessati anche indirettamente, salvo che 
l’abbinamento al materiale di ricerca dei dati identifica- 
tivi dell’interessato sia temporaneo ed essenziale per il 
risultato della ricerca, e sia motivato, altresì, per iscritto. I 
risultati della ricerca non possono essere diffusi se non in 
forma anonima. Resta fermo quanto previsto dall’art. 98 
del Codice; 


b) alle organizzazioni di volontariato o assistenziali, 
limitatamente ai dati e alle operazioni indispensabili per 
perseguire scopi determinati e legittimi previsti, in parti- 
colare, nelle rispettive norme statutarie; 

c) alle comunità di recupero e di accoglienza, alle 
case di cura e di riposo, limitatamente ai dati e alle ope- 
razioni indispensabili per perseguire scopi determinati e 
legittimi previsti, in particolare, nelle rispettive norme 
statutarie; 


d) agli enti, alle associazioni e alle organizzazioni 
religiose riconosciute, relativamente ai dati e alle opera- 
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zioni indispensabili per perseguire scopi determinati e le- 
gittimi nei limiti di quanto stabilito dall’art. 26, comma 4, 
lettera a), del Codice, fermo restando quanto previsto per 
le confessioni religiose dagli articoli 26, comma 3, lette- 
ra a), e 181, comma 6, del Codice e dall’autorizzazione 
n. 3/2016; 


e) alle persone fisiche o giuridiche, alle imprese, 
anche sociali, agli enti, alle associazioni e ad altri orga- 
nismi, limitatamente ai dati, ove necessario attinenti an- 
che alla vita sessuale, e alle operazioni indispensabili per 
adempiere agli obblighi, anche precontrattuali, derivanti 
da un rapporto di fornitura all’interessato di beni, di pre- 
stazioni o di servizi. 


Se il rapporto intercorre con imprese assicurative o 
istituti di credito, devono considerarsi indispensabili i 
soli dati ed operazioni strettamente necessari per forni- 
re specifici prodotti o servizi richiesti dall’interessato. Il 
rapporto può riguardare anche la fornitura di strumenti di 
ausilio per la vista, per l’udito o per la deambulazione; 


)) alle persone fisiche o giuridiche, agli enti, alle as- 
sociazioni e agli altri organismi che gestiscono impianti 
o strutture sportive, limitatamente ai dati idonei a rive- 
lare lo stato di salute e alle operazioni indispensabili per 
accertare l’idoneità fisica alla partecipazione ad attività 
sportive o agonistiche; 


g) alle persone fisiche o giuridiche e ad altri orga- 
nismi, limitatamente ai dati dei beneficiari e dei donatori 
e alle operazioni indispensabili per effettuare trapianti di 
organi e tessuti, nonché donazioni di sangue. 


1.3. La presente autorizzazione è rilasciata, altresì, 
quando il trattamento dei dati idonei a rivelare lo stato di 
salute e la vita sessuale sia necessario per: 


a) lo svolgimento delle investigazioni difensive di 
cui alla legge 7 dicembre 2000, n. 397, o comunque per 
far valere o difendere un diritto anche da parte di un terzo 
in sede giudiziaria, nonché in sede amministrativa o nelle 
procedure di arbitrato e di conciliazione nei casi previsti 
dalle leggi, dalla normativa dell’Unione europea, dai re- 
golamenti o dai contratti collettivi, sempre che il diritto 
sia di rango pari a quello dell’interessato, ovvero consi- 
stente in un diritto della personalità o in altro diritto o 
libertà fondamentale e inviolabile, e i dati siano trattati 
esclusivamente per tali finalità e per il periodo stretta- 
mente necessario per il loro perseguimento; 


b) adempiere o esigere l'adempimento di specifici 
obblighi o per eseguire specifici compiti previsti dalla 
normativa dell’Unione europea, da leggi, da regolamenti 
o da contratti collettivi per la gestione del rapporto di la- 
voro, nonché dalla normativa in materia di previdenza e 
assistenza o in materia di igiene e sicurezza del lavoro o 
della popolazione, nei limiti previsti dalla autorizzazione 
generale del Garante n. 1/2016 e ferme restando le dispo- 
sizioni del codice di deontologia e di buona condotta di 
cui all’art. 111 del Codice. 


1.4. Il trattamento di dati genetici resta autorizzato nei 
limiti e alle condizioni individuati nell’autorizzazione 
adottata ai sensi dell’art. 90 del Codice. 
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2) Categorie di dati oggetto di trattamento. 


Prima di iniziare o proseguire il trattamento i sistemi 
informativi e i programmi informatici sono configurati 
riducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


Il trattamento può avere per oggetto i dati strettamente 
pertinenti ai sopra indicati obblighi, compiti o finalità che 
non possano essere adempiuti o realizzati, caso per caso, 
mediante il trattamento di dati anonimi o di dati personali 
di natura diversa, e può comprendere le informazioni re- 
lative a stati di salute pregressi. 


Devono essere considerate sottoposte all’ambito di ap- 
plicazione della presente autorizzazione anche le infor- 
mazioni relative ai nascituri, che devono essere trattate 
alla stregua dei dati personali in conformità a quanto pre- 
visto dalla citata raccomandazione n. R (97) 5 del Consi- 
glio d’Europa. 


3) Modalità di trattamento. 


Fermi restando gli obblighi previsti dagli articoli 11 
e 14 del Codice, nonché dagli articoli 31 e seguenti del 
Codice e dall’ Allegato B) al medesimo Codice, il tratta- 
mento dei dati oggetto della presente autorizzazione deve 
essere effettuato unicamente con operazioni, nonché con 
logiche e mediante forme di organizzazione dei dati stret- 
tamente indispensabili in rapporto ai sopra indicati obbli- 
ghi, compiti o finalità. 

I dati sono raccolti, di regola, presso l’interessato. 


La comunicazione di dati all’interessato deve avvenire 
di regola direttamente a quest’ultimo o a un suo delegato 
(fermo restando quanto previsto dall’art. 84, comma 1, 
del Codice), in plico chiuso o con altro mezzo idoneo 
a prevenire la conoscenza da parte di soggetti non au- 
torizzati, anche attraverso la previsione di distanze di 
cortesia. 


Per le informazioni relative ai nascituri, il consenso 
è prestato dalla gestante. Dopo il raggiungimento della 
maggiore età l’informativa è fornita all’interessato anche 
ai fini della acquisizione di una nuova manifestazione del 
consenso quando questo è necessario (art. 82, comma 4, 
del Codice). 


4) Conservazione dei dati. 


Nel quadro del rispetto dell’obbligo previsto 
dall’art. 11, comma 1, lettera e) del Codice, i dati possono 
essere conservati per un periodo non superiore a quello 
necessario per adempiere agli obblighi o ai compiti so- 
pra indicati, ovvero per perseguire le finalità ivi menzio- 
nate. A tal fine, anche mediante controlli periodici, deve 
essere verificata costantemente la stretta pertinenza, non 
eccedenza e indispensabilità dei dati rispetto al rappor- 
to, alla prestazione o all’incarico in corso, da instaurare 
o cessati, anche con riferimento ai dati che l’interessato 
fornisce di propria iniziativa. I dati che, anche a seguito 
delle verifiche, risultano eccedenti o non pertinenti o non 
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indispensabili non possono essere utilizzati, salvo che per 
l’eventuale conservazione, a norma di legge, dell’atto o 
del documento che li contiene. 

Specifica attenzione è prestata per l’indispensabilità 
dei dati riferiti a soggetti diversi da quelli cui si riferisco- 
no direttamente le prestazioni e gli adempimenti. 


5) Comunicazione e diffusione dei dati. 


Salvo quanto previsto per i dati genetici nell’autorizza- 
zione adottata ai sensi dell’art. 90 del Codice, i dati idonei 
a rivelare lo stato di salute possono essere comunicati, 
nei limiti strettamente pertinenti agli obblighi, ai compiti 
e alle finalità di cui al punto 1), a soggetti pubblici e pri- 
vati, ivi compresi i fondi e le casse di assistenza sanitaria 
integrativa, le aziende che svolgono attività strettamente 
correlate all’esercizio di professioni sanitarie o alla for- 
nitura all’interessato di beni, di prestazioni o di servizi, 
gli istituti di credito e le imprese assicurative, le asso- 
ciazioni od organizzazioni di volontariato e i familiari 
dell’interessato. 


Ai sensi degli articoli 22, comma 8, e 26, comma 5, 
del Codice, i dati idonei a rivelare lo stato di salute non 
possono essere diffusi. 


I dati idonei a rivelare la vita sessuale non possono 
essere diffusi, salvo il caso in cui la diffusione riguardi 
dati resi manifestamente pubblici dall’interessato e per i 
quali l'interessato stesso non abbia manifestato successi- 
vamente la sua opposizione per motivi legittimi. 


6) Richieste di autorizzazione. 


I titolari dei trattamenti che rientrano nell’ambito di ap- 
plicazione della presente autorizzazione non sono tenuti 
a presentare una richiesta di autorizzazione a questa Au- 
torità, qualora il trattamento che si intende effettuare sia 
conforme alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perver- 
ranno anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante non prenderà in considerazione richieste di 
autorizzazione per trattamenti da effettuarsi in difformità 
alle prescrizioni del presente provvedimento, salvo che, 
ai sensi dell’art. 41 del Codice, il loro accoglimento sia 
giustificato da circostanze del tutto particolari o da situa- 
zioni eccezionali non considerate nella presente autoriz- 
zazione, relative, ad esempio, al caso in cui la raccolta del 
consenso comporti un impiego di mezzi manifestamente 
sproporzionato in ragione, in particolare, del numero di 
persone interessate. 


7) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge 

o di regolamento o dalla normativa dell’Unione europea 

che stabiliscono divieti o limiti più restrittivi in materia di 
trattamento di dati personali e, in particolare: 

a) dall’art. 5, comma 2, della legge 5 giugno 1990, 

n. 135, come modificato dall’art. 178 del Codice, secondo 

cui la rilevazione statistica della infezione da HIV deve 
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essere effettuata con modalità che non consentano l’iden- 
tificazione della persona; 


b) dall’art. 11 della legge 22 maggio 1978, n. 194, 
il quale dispone che l’ente ospedaliero, la casa di cura 
o il poliambulatorio nei quali è effettuato un intervento 
di interruzione di gravidanza devono inviare all’autorità 
sanitaria competente per territorio una dichiarazione che 
non faccia menzione dell’identità della donna; 


c) dall’art. 734-bis del codice penale, il quale vie- 
ta la divulgazione non consensuale delle generalità o 
dell’immagine della persona offesa da atti di violenza 
sessuale. 


Restano altresì fermi gli obblighi di legge che vietano 
la rivelazione senza giusta causa e l’impiego a proprio o 
altrui profitto delle notizie coperte dal segreto professio- 
nale, nonché gli obblighi deontologici previsti, in parti- 
colare, dal codice di deontologia medica adottato dalla 
Federazione nazionale degli ordini dei medici chirurghi e 
degli odontoiatri. 


Resta ferma, infine, la possibilità di diffondere dati 
anonimi anche aggregati e di includerli, in particolare, 
nelle pubblicazioni a contenuto scientifico o finalizzate 
all’educazione, alla prevenzione o all’informazione di ca- 
rattere sanitario. 


8) Efficacia temporale. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
regolamento. 


La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 


Il presidente 
Soro 


Il relatore 
BIANCHI CLERICI 


Il segretario generale 
Busia 
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AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili da parte 
degli organismi di tipo associativo e delle fondazioni. (Auto- 
rizzazione n. 3/2016). 


IL GARANTE 
PER LA PROTEZIONE DEI DATI PERSONALI 


In data odierna, con la partecipazione del dott. Anto- 
nello Soro, presidente, della dott.ssa Augusta Iannini, 
vicepresidente, della dott.ssa Giovanna Bianchi Clerici e 
della dott.ssa Licia Califano, componenti, e del dott. Giu- 
seppe Busia, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, re- 
cante il Codice in materia di protezione dei dati personali; 


Visto, in particolare, l’art. 4, comma 1, lett. d), del cita- 
to Codice, il quale individua i dati sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del 
Codice, i soggetti privati e gli enti pubblici economici 
possono trattare i dati sensibili solo previa autorizzazio- 
ne di questa Autorità e, ove necessario, con il consenso 
scritto degli interessati, nell'osservanza dei presupposti 
e dei limiti stabiliti dal Codice, nonché dalla legge e dai 
regolamenti; 


Visto altresì il comma 4, lett. a), del citato art. 26, il 
quale stabilisce che i dati sensibili possono essere oggetto 
di trattamento anche senza consenso, previa autorizzazio- 
ne del Garante, «quando il trattamento è effettuato da as- 
sociazioni, enti ed organismi senza scopo di lucro, anche 
non riconosciuti, a carattere politico, filosofico, religioso 
o sindacale, ivi compresi partiti e movimenti politici, per 
il perseguimento di scopi determinati e legittimi indivi- 
duati dall’atto costitutivo, dallo statuto o dal contratto 
collettivo, relativamente ai dati personali degli aderenti o 
dei soggetti che in relazione a tali finalità hanno contatti 
regolari con l’associazione, ente od organismo, sempre 
che i dati non siano comunicati all’esterno o diffusi e 
l’ente, associazione od organismo determini idonee ga- 
ranzie relativamente ai trattamenti effettuati, prevedendo 
espressamente le modalità di utilizzo dei dati con deter- 
minazione resa nota agli interessati all’atto dell’informa- 
tiva ai sensi dell’art. 13»; 


Visto il comma 3, lettera a), del predetto art. 26, il qua- 
le stabilisce che la disciplina di cui al relativo comma 1 
non si applica al trattamento dei dati relativi agli aderenti 
alle confessioni religiose e ai soggetti che con riferimento 
a finalità di natura esclusivamente religiosa hanno con- 
tatti regolari con le medesime confessioni, effettuato dai 
relativi organi, ovvero da enti civilmente riconosciuti, 
sempre che 1 dati non siano diffusi o comunicati fuori del- 
le medesime confessioni; 


Rilevato che le confessioni di cui alla lettera a) del 
medesimo art. 26, comma 3, devono determinare idonee 
garanzie relativamente ai trattamenti effettuati, nel rispet- 
to dei princìpi indicati al riguardo con autorizzazione del 
Garante; 


Visto l’art. 181, comma 6, del Codice secondo cui le 
confessioni religiose che, prima dell’adozione del mede- 
simo Codice, abbiano determinato e adottato nell’ambito 
del rispettivo ordinamento le garanzie di cui al predetto 
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art. 26, comma 3, lett. a), possono proseguire l’attività di 
trattamento nel rispetto delle medesime; 


Considerato che il trattamento dei dati in questione può 
essere autorizzato dal Garante anche d’ufficio con prov- 
vedimenti di carattere generale, relativi a determinate ca- 
tegorie di titolari o di trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di carattere generale 
sinora rilasciate sono risultate uno strumento idoneo per 
prescrivere misure uniformi a garanzia degli interessati, 
rendendo altresì superflua la richiesta di singoli provve- 
dimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 31 dicembre 2016, 
armonizzando le prescrizioni già impartite alla luce 
dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizza- 
zioni siano provvisorie e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice e, in particolare effica- 
ci fino al 24 maggio 2018, tenuto conto che a decorrere 
dal 25 maggio 2018 sarà applicabile il Regolamento (UE) 
2016/679, entrato in vigore il 24 maggio 2016, relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE; 


Considerata la necessità di garantire il rispetto di alcuni 
princìpi volti a ridurre al minimo i rischi di danno o di 
pericolo che i trattamenti potrebbero comportare per 1 di- 
ritti e le libertà fondamentali, nonché per la dignità delle 
persone, e in particolare, per il diritto alla protezione dei 
dati personali sancito dall’art. 1 del Codice; 


Considerato che un elevato numero di trattamenti di 
dati sensibili è effettuato da enti ed organizzazioni di tipo 
associativo e da fondazioni, per la realizzazione di scopi 
determinati e legittimi individuati dall’atto costitutivo, 
dallo statuto o da un contratto collettivo; 

Visto l’art. 167 del Codice; 

Visto l’art. 11, comma 2, del Codice, il quale stabilisce 
che i dati trattati in violazione della disciplina rilevante 
in materia di trattamento di dati personali non possono 
essere utilizzati; 

Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all’ Allegato 8) al medesimo Codice, 
recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 

Visti gli articoli 42 e seguenti del Codice in materia di 
trasferimento di dati personali all’estero; 

Visti gli atti d’ufficio; 

Viste le osservazioni dell'Ufficio formulate dal segre- 
tario generale ai sensi dell’art. 15 del regolamento del ga- 
rante n. 1/2000; 


Relatore dott.ssa Giovanna Bianchi Clerici; 


Autorizza 


il trattamento dei dati sensibili di cui all’art. 4, comma 1, 
lett. 4), del Codice da parte di associazioni, fondazioni, 
comitati ed altri organismi di tipo associativo, secondo le 
prescrizioni di seguito indicate. 
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Prima di iniziare o proseguire il trattamento i sistemi 
informativi e i programmi informatici sono configurati 
riducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


1) Ambito di applicazione. 


La presente autorizzazione è rilasciata: 


a) alle associazioni anche non riconosciute, ai par- 
titi e ai movimenti politici, alle associazioni e alle orga- 
nizzazioni sindacali, ai patronati e alle associazioni di 
categoria, alle casse di previdenza, alle organizzazioni 
assistenziali o di volontariato, nonché alle federazioni e 
confederazioni nelle quali tali soggetti sono riuniti in con- 
formità, ove esistenti, allo statuto, all’atto costitutivo o ad 
un contratto collettivo; 


b) alle fondazioni, ai comitati e ad ogni altro ente, 
consorzio od organismo senza scopo di lucro, dotati o 
meno di personalità giuridica, ivi comprese le organizza- 
zioni non lucrative di utilità sociale (Onlus); 


c) alle cooperative sociali e alle società di mutuo 
soccorso di cui, rispettivamente, alle leggi 8 novembre 
1991, n. 381 e 15 aprile 1886, n. 3818. 


L’autorizzazione è rilasciata altresì agli istituti scolasti- 
ci, limitatamente al trattamento dei dati idonei a rivelare 
le convinzioni religiose e per le operazioni strettamente 
necessarie per l’applicazione dell’art. 310 del decreto le- 
gislativo 16 aprile 1994, n. 297 e degli articoli 3 e 10 del 
decreto legislativo 19 febbraio 2004, n. 59. 


Resta fermo l’obbligo per le confessioni religiose di 
determinare, ai sensi dell’art. 26, comma 3, lett. a) del 
Codice, idonee garanzie relativamente ai trattamenti ef- 
fettuati nel rispetto dei princìpi indicati con la presente 
autorizzazione. 


Ai sensi dell’art. 181, comma 6, del Codice, le con- 
fessioni religiose che, prima dell’adozione del medesimo 
Codice, abbiano determinato e adottato nell’ambito del 
rispettivo ordinamento le garanzie di cui all’art. 26, com- 
ma 3, lett. a), del Codice possono proseguire l’attività di 
trattamento effettuato dai relativi organi, ovvero da enti 
civilmente riconosciuti, nel rispetto delle medesime. 


2) Finalità del trattamento. 


L’autorizzazione è rilasciata per il perseguimento 
di scopi determinati e legittimi individuati dalla legge, 
dall’atto costitutivo, dallo statuto o dal contratto colletti- 
vo, ove esistenti, e in particolare per il perseguimento di 
finalità culturali, religiose, politiche, sindacali, sportive o 
agonistiche di tipo non professionistico, di istruzione an- 
che con riguardo alla libertà di scelta dell’insegnamento 
religioso, di formazione, di ricerca scientifica, di patroci- 
nio, di tutela dell'ambiente e delle cose d’interesse arti- 
stico e storico, di salvaguardia dei diritti civili, nonché di 
beneficenza, assistenza sociale o socio-sanitaria. 
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La presente autorizzazione è rilasciata, altresì, per far 
valere o difendere un diritto anche da parte di un terzo in 
sede giudiziaria, nonché in sede amministrativa o nelle 
procedure di arbitrato e di conciliazione nei casi previsti 
dalla normativa dell’Unione europea, dalle leggi, dai re- 
golamenti o dai contratti collettivi. 


La presente autorizzazione è rilasciata per l’esercizio 
del diritto di accesso ai dati e ai documenti amministra- 
tivi, nei limiti di quanto stabilito dalle leggi e dai regola- 
menti in materia. 


Per i fini predetti, il trattamento dei dati sensibili può 
riguardare anche la tenuta di registri e scritture contabi- 
li, di elenchi, di indirizzari e di altri documenti necessari 
per la gestione amministrativa dell’associazione, della 
fondazione, del comitato o del diverso organismo, o per 
l’adempimento di obblighi fiscali, ovvero per la diffusio- 
ne di riviste, bollettini e simili. 


Qualora i soggetti di cui alle lettere a), 5) e c) del punto 
1 si avvalgano di persone giuridiche o di altri organismi 
con scopo di lucro o di liberi professionisti per perseguire 
le predette finalità, ovvero richiedano ad essi la fornitura 
di beni, prestazioni o servizi, la presente autorizzazione è 
rilasciata anche ai medesimi organismi, persone giuridi- 
che o liberi professionisti. 


I soggetti di cui alle predette lettere a), 5) e c) possono 
comunicare alle persone giuridiche e agli organismi con 
scopo di lucro titolari di un autonomo trattamento, i soli 
dati sensibili strettamente indispensabili per le attività di 
effettivo ausilio alle predette finalità, con particolare rife- 
rimento alle generalità degli interessati e ad indirizzari, 
sulla base di un atto scritto che individui con precisione 
le informazioni comunicate, le modalità del successivo 
utilizzo, le particolari misure di sicurezza, nonché, ove 
previsto, le idonee garanzie determinate. L'informativa 
da rendere agli interessati deve porre tale circostanza in 
particolare evidenza e deve recare la precisa menzione 
dei titolari del trattamento e delle finalità da essi perse- 
guite. Le persone giuridiche e gli organismi con scopo 
di lucro, oltre a quanto previsto nei punti 4) e 6) in tema 
di pertinenza, non eccedenza e indispensabilità dei dati, 
possono trattare i dati così acquisiti solo per scopi di ausi- 
lio alle finalità predette, ovvero per scopi amministrativi 
e contabili. 


3) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare i dati sensibili attinenti: 


a) agli associati, ai soci e, se strettamente indispen- 
sabile per il perseguimento delle finalità di cui al punto 
2), ai relativi familiari e conviventi; 


b) agli aderenti, ai sostenitori o sottoscrittori, nonché 
ai soggetti che presentano richiesta di ammissione o di 
adesione o che hanno contatti regolari con l’associazione, 
la fondazione o il diverso organismo; 


c) ai soggetti che ricoprono cariche sociali o 
onorifiche; 


d) ai beneficiari, agli assistiti e ai fruitori delle atti- 
vità o dei servizi prestati dall’associazione o dal diverso 
organismo, limitatamente ai soggetti individuabili in base 
allo statuto o all’atto costitutivo, ove esistenti, o comun- 
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que a coloro nell’interesse dei quali i soggetti menziona- 
ti al punto 1) possono operare in base ad una previsione 
normativa; 


e) agli studenti iscritti o che hanno presentato do- 
manda di iscrizione agli istituti di cui al punto 1) e, qua- 
lora si tratti di minori, ai loro genitori o a chi ne esercita 
la potestà; 


)) ai lavoratori dipendenti degli associati e dei soci, 
limitatamente ai dati idonei a rivelare l’adesione a sinda- 
cati, associazioni od organizzazioni a carattere sindacale 
e alle operazioni necessarie per adempiere a specifici ob- 
blighi derivanti da contratti collettivi anche aziendali. 


4) Categorie di dati oggetto di trattamento. 


L’autorizzazione non riguarda i dati idonei a rivelare lo 
stato di salute e la vita sessuale, ai quali si riferisce l’au- 
torizzazione generale n. 2/2016. 


Il trattamento può avere per oggetto gli altri dati sensi- 
bili di cui all’art. 4, comma 1, lett. d) del Codice, idonei 
a rivelare l’origine razziale ed etnica, le convinzioni reli- 
giose, filosofiche o di altro genere, le opinioni politiche, 
l’adesione a partiti, sindacati, associazioni od organizza- 
zioni a carattere religioso, filosofico, politico o sindacale. 


Il trattamento può riguardare i dati e le operazioni in- 
dispensabili per perseguire le finalità di cui al punto 1) 0, 
comunque, per adempiere ad obblighi derivanti dalla leg- 
ge, dalla normativa dell’Unione europea, dai regolamenti 
o dai contratti collettivi, che non possano essere persegui- 
ti o adempiuti, caso per caso, mediante il trattamento di 
dati anonimi o di dati personali di natura diversa. 


A tal fine, anche mediante controlli periodici, deve es- 
sere verificata costantemente la stretta pertinenza, non 
eccedenza e indispensabilità dei dati rispetto ai predetti 
obblighi e finalità, in particolare per quanto riguarda i dati 
che rivelano le opinioni e le intime convinzioni, anche 
con riferimento ai dati che l’interessato fornisce di pro- 
pria iniziativa. I dati che, anche a seguito delle verifiche, 
risultano eccedenti o non pertinenti o non indispensabili 
non possono essere utilizzati, salvo per l’eventuale con- 
servazione, a norma di legge, dell’atto o del documento 
che li contiene. 


5) Modalità di trattamento. 


Fermi restando gli obblighi previsti dagli articoli 11 e 
14 del Codice, e dagli articoli 31 e seguenti del Codice e 
dall’ Allegato B) al medesimo Codice, il trattamento dei 
dati sensibili deve essere effettuato unicamente con ope- 
razioni, nonché con logiche e mediante forme di orga- 
nizzazione dei dati strettamente indispensabili in rapporto 
alle finalità, agli scopi e agli obblighi di cui al punto 2). 

I dati sono raccolti, di regola, presso l’interessato. 


Fermo restando quanto previsto ai punti 2) e 7) della 
presente autorizzazione, se è indispensabile, in conformi- 
tà al medesimo punto 7), comunicare o diffondere dati 
all’esterno dell’associazione, della fondazione, del comi- 
tato o del diverso organismo, il consenso scritto è acqui- 
sito previa idonea informativa resa agli interessati ai sensi 
dell’art. 13 del Codice, la quale deve precisare le specifi- 
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che modalità di utilizzo dei dati tenuto conto delle idonee 
garanzie adottate relativamente ai trattamenti effettuati. 


6) Conservazione dei dati. 


Nel rispetto dell’obbligo previsto dall’art. 11, com- 
ma 1, lett. e) del Codice, i dati sensibili possono essere 
conservati per un periodo non superiore a quello necessa- 
rio per perseguire le finalità e gli scopi di cui al punto 2), 
ovvero per adempiere agli obblighi ivi menzionati. 

Le verifiche di cui all’ultimo periodo del punto 4) de- 
vono riguardare anche la pertinenza, non eccedenza e 
indispensabilità dei dati rispetto all’attività svolta dall’in- 
teressato o al rapporto che intercorre tra l’interessato e 
i soggetti di cui al punto 1), tenendo presente il genere 
di prestazione, di beneficio o di servizio offerto all’inte- 
ressato e la posizione di quest’ultimo rispetto ai soggetti 
stessi. 


7) Comunicazione e diffusione dei dati. 


I dati sensibili possono essere comunicati a soggetti 
pubblici o privati, e ove necessario diffusi, solo se stret- 
tamente pertinenti alle finalità, agli scopi e agli obblighi 
di cui al punto 2) e tenendo presenti le altre prescrizioni 
sopraindicate. 


I dati sensibili possono essere comunicati alle autorità 
competenti se necessario per finalità di prevenzione, ac- 
certamento o repressione dei reati, con l’osservanza delle 
norme che regolano la materia. 


I dati relativi allo stato di salute e alla vita sessuale non 
possono essere diffusi. 


8) Richieste di autorizzazione. 


I titolari dei trattamenti che rientrano nell’ambito di ap- 
plicazione della presente autorizzazione non sono tenuti 
a presentare una richiesta di autorizzazione a questa Au- 
torità, qualora il trattamento che si intende effettuare sia 
conforme alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perver- 
ranno anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante non prenderà in considerazione richieste 
di autorizzazione per trattamenti da effettuarsi in diffor- 
mità alle prescrizioni del presente provvedimento, salvo 
che, ai sensi dell’art. 41 del Codice, il loro accoglimen- 
to sia giustificato da circostanze del tutto particolari o 
da situazioni eccezionali non considerate nella presente 
autorizzazione. 


9) Norme finali. 


Restano fermi gli obblighi previsti dalla normativa 
dell’Unione europea, da norme di legge o di regolamento 
che stabiliscono divieti o limiti in materia di trattamento 
di dati personali. 

Restano inoltre ferme le norme volte a prevenire di- 
scriminazioni, e in particolare le disposizioni contenu- 
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te nel decreto-legge 26 aprile 1993, n. 122, convertito, 
con modificazioni, dalla legge 25 giugno 1993, n. 205, 
in materia di discriminazione per motivi razziali, etnici, 
nazionali o religiosi e di delitti di genocidio, nel decreto 
legislativo 9 luglio 2003, n. 215 di attuazione della diret- 
tiva 2000/43/CE per la parità di trattamento tra le perso- 
ne indipendentemente dalla razza e dall’origine etnica e 
nel decreto legislativo 9 luglio 2003, n. 216, di attuazione 
della direttiva 2000/78/CE per la parità di trattamento in 
materia di occupazione e di condizioni di lavoro. 


10) Efficacia temporale e disciplina transitoria. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il Regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
Regolamento. 


La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 


Il presidente 
Soro 


Il relatore 
BIANCHI CLERICI 


Il segretario generale 
BusIa 
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AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili da parte 
dei liberi professionisti. (Autorizzazione n. 4/2016). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


In data odierna, con la partecipazione del dott. Anto- 
nello Soro, presidente, della dott.ssa Augusta Iannini, 
vicepresidente, della dott.ssa Giovanna Bianchi Clerici e 
della dott.ssa Licia Califano, componenti, e del dott. Giu- 
seppe Busia, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, re- 
cante il Codice in materia di protezione dei dati personali; 
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Visto, in particolare, l’art. 4, comma 1, lettera d), del 
citato Codice, il quale individua 1 dati sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del 
Codice, i soggetti privati e gli enti pubblici economici 
possono trattare i dati sensibili solo previa autorizzazio- 
ne di questa Autorità e, ove necessario, con il consenso 
scritto degli interessati, nell’osservanza dei presupposti 
e dei limiti stabiliti dal Codice, nonché dalla legge e dai 
regolamenti; 


Visto il comma 4, lettera c), del medesimo art. 26, il 
quale stabilisce che i dati sensibili possono essere ogget- 
to di trattamento anche senza consenso, previa autoriz- 
zazione del Garante, quando il trattamento medesimo è 
necessario ai fini dello svolgimento delle investigazioni 
difensive ai sensi della legge 7 dicembre 2000, n. 397 o, 
comunque per far valere o difendere in sede giudiziaria un 
diritto, sempre che i dati siano trattati esclusivamente per 
tali finalità e per il periodo strettamente necessario al loro 
perseguimento, e che, quando i dati siano idonei a rivela- 
re lo stato di salute e la vita sessuale il diritto sia di rango 
pari a quello dell’interessato, ovvero consista in un diritto 
della personalità o in altri diritti o libertà fondamentali; 


Considerato che il trattamento dei dati in questione può 
essere autorizzato dal Garante anche d’ufficio con prov- 
vedimenti di carattere generale, relativi a determinate ca- 
tegorie di titolari o di trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di carattere generale 
sinora rilasciate sono risultate uno strumento idoneo per 
prescrivere misure uniformi a garanzia degli interessati, 
rendendo altresì superflua la richiesta di singoli provve- 
dimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 31 dicembre 2016, 
armonizzando le prescrizioni già impartite alla luce 
dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizza- 
zioni siano provvisorie e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice, e, in particolare effica- 
ci fino al 24 maggio 2018, tenuto conto che a decorrere 
dal 25 maggio 2018 sarà applicabile il Regolamento (UE) 
2016/679, entrato in vigore il 24 maggio 2016, relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE; 


Considerata la necessità di garantire il rispetto di alcuni 
princìpi volti a ridurre al minimo i rischi di danno o di 
pericolo che i trattamenti potrebbero comportare per 1 di- 
ritti e le libertà fondamentali, nonché per la dignità delle 
persone, e, in particolare, per il diritto alla protezione dei 
dati personali sancito dall’art. 1 del Codice; 


Considerato che un elevato numero di trattamenti di 
dati sensibili è effettuato da liberi professionisti iscritti 
in albi o elenchi professionali per l’espletamento delle ri- 
spettive attività professionali; 


Visto l’art. 167 del Codice; 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce 
che i dati trattati in violazione della disciplina rilevante 
in materia di trattamento di dati personali non possono 
essere utilizzati; 


=, li = Di 
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Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all'Allegato 8) al medesimo Codice 
recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 

Visti gli articoli 42 e seguenti del Codice in materia di 
trasferimento di dati personali all’estero; 

Visti gli atti d’ufficio; 

Viste le osservazioni dell’Ufficio formulate dal segre- 


tario generale ai sensi dell’art. 15 del regolamento del Ga- 
rante n. 1/2000; 


Relatore la dott.ssa Augusta lannini; 


Autorizza 


i liberi professionisti iscritti in albi o elenchi profes- 
sionali a trattare i dati sensibili di cui all’art. 4, comma 1, 
lettera d), del Codice, secondo le prescrizioni di seguito 
indicate. 


Prima di iniziare o proseguire il trattamento i sistemi 
informativi e i programmi informatici sono configurati 
riducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


1) Ambito di applicazione. 


L’autorizzazione è rilasciata ai liberi professionisti te- 
nuti ad iscriversi in albi o elenchi per l’esercizio di un’at- 
tività professionale in forma individuale o associata, an- 
che in conformità al decreto legislativo 2 febbraio 2001, 
n. 96, o alle norme di attuazione dell’art. 24, comma 2, 
della legge 7 agosto 1997, n. 266, in tema di attività di 
assistenza e consulenza. 


Sono equiparati ai liberi professionisti i soggetti iscritti 
nei corrispondenti albi o elenchi speciali istituiti anche 
ai sensi dell’art. 34 del regio decreto-legge 27 novembre 
1933, n. 1578 e successive modificazioni e integrazioni, 
recante l’ordinamento della professione di avvocato. 


L’autorizzazione è rilasciata anche ai sostituti e agli au- 
siliari che collaborano con il libero professionista ai sensi 
dell’art. 2232 del Codice civile, ai praticanti e ai tiroci- 
nanti presso il libero professionista, qualora tali soggetti 
siano titolari di un autonomo trattamento o siano conti- 
tolari del trattamento effettuato dal libero professionista. 


Il presente provvedimento non si applica al trattamento 
dei dati sensibili effettuato: 


a) dagli esercenti le professioni sanitarie e dagli psi- 
cologi, dal personale sanitario infermieristico, tecnico e 
della riabilitazione, ai quali si riferisce l’autorizzazione 
generale n. 2/2016; 


b) per la gestione delle prestazioni di lavoro o di 
collaborazione di cui si avvale il libero professionista o 
taluno dei soggetti sopra indicati, alla quale si riferisce 
l’autorizzazione generale n. 1/2016; 
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c) da soggetti privati che svolgono attività investiga- 
tive, dai giornalisti, dai pubblicisti e dai praticanti gior- 
nalisti di cui agli articoli 26 e 33 della legge 3 febbraio 
1963, n. 69. 


2) Interessati ai quali i dati si riferiscono e categorie di 
dati. 


Il trattamento può riguardare i dati sensibili relativi ai 
clienti. 


I dati sensibili relativi ai terzi possono essere trattati 
ove ciò sia strettamente indispensabile per l’esecuzione 
di specifiche prestazioni professionali richieste dai clienti 
per scopi determinati e legittimi. 


In ogni caso, i dati devono essere strettamente perti- 
nenti e non eccedenti rispetto ad incarichi conferiti che 
non possano essere svolti mediante il trattamento di dati 
anonimi o di dati personali di natura diversa. 


Il trattamento dei dati idonei a rivelare lo stato di salute 
e la vita sessuale deve essere effettuato anche nel rispetto 
della citata autorizzazione generale n. 2/2016. 


3) Finalità del trattamento. 


Il trattamento dei dati sensibili può essere effettuato ai 
soli fini dell’espletamento di un incarico che rientri tra 
quelli che il libero professionista può eseguire in base al 
proprio ordinamento professionale, e in particolare: 


a) per curare gli adempimenti in materia di lavoro, 
di previdenza ed assistenza sociale e fiscale nell’interesse 
di altri soggetti che sono parte di un rapporto di lavoro 
dipendente o autonomo, ai sensi della legge 11 gennaio 
1979, n. 12, che disciplina la professione di consulente 
del lavoro; 


b) ai fini dello svolgimento da parte del difensore 
delle investigazioni difensive di cui alla legge 7 dicembre 
2000, n. 397, anche a mezzo di sostituti e di consulenti 
tecnici, o, comunque, per far valere o difendere un dirit- 
to anche da parte di un terzo in sede giudiziaria, nonché 
in sede amministrativa o nelle procedure di arbitrato e di 
conciliazione nei casi previsti dalla normativa dell’ Unio- 
ne europea, dalle leggi, dai regolamenti o dai contratti 
collettivi. Qualora i dati siano idonei a rivelare lo stato di 
salute e la vita sessuale, il diritto da far valere o difendere 
deve essere di rango pari a quello dell’interessato, ovvero 
consistente in un diritto della personalità o in un altro di- 
ritto o libertà fondamentale e inviolabile; 


c) per l’esercizio del diritto di accesso ai dati e 
ai documenti amministrativi, nei limiti di quanto stabilito 
dalle leggi e dai regolamenti in materia, salvo quanto pre- 
visto dall’art. 60 del Codice in relazione ai dati sullo stato 
di salute e sulla vita sessuale. 


4) Modalità di trattamento. 


Il trattamento dei dati sensibili deve essere effettuato 
unicamente con logiche e mediante forme di organiz- 
zazione dei dati strettamente indispensabili in rapporto 
all’incarico conferito dal cliente. 


29-12-2016 


Restano fermi gli obblighi previsti dagli articoli 11 e 14 
del Codice, nonché dagli articoli 31 e seguenti del Codice 
e dall’ Allegato B) al medesimo Codice. 


Resta inoltre fermo l’obbligo di informare l’interessato 
ai sensi dell’art. 13, commi 1, 4 e 5, del Codice, anche 
quando i dati sono raccolti presso terzi, e di acquisire, 
ove necessario, il consenso scritto. L'avvocato può forni- 
re tale informativa e le notizie che deve indicare ai sensi 
della disciplina sulle indagini difensive in un unico conte- 
sto, anche mediante affissione nei locali dello Studio e, se 
ne dispone, pubblicazione sul proprio sito Internet, anche 
utilizzando formule sintetiche e colloquiali. 


Se i dati sono raccolti per l’esercizio di un diritto in 
sede giudiziaria o per le indagini difensive (punto 3), let- 
tera b)), l’informativa relativa ai dati raccolti presso terzi, 
e il consenso scritto, sono necessari solo se i dati sono 
trattati per un periodo superiore a quello strettamente ne- 
cessario al perseguimento di tali finalità, oppure per altre 
finalità con esse non incompatibili. 


Le informative devono permettere all’interessato di 
comprendere agevolmente se il titolare del trattamento 
è un singolo professionista o un’associazione di profes- 
sionisti, ovvero se ricorre un’ipotesi di contitolarità tra 
più liberi professionisti o di esercizio della professione in 
forma societaria ai sensi del decreto legislativo 2 febbraio 
2001, n. 96. 


Resta ferma la facoltà del libero professionista di de- 
signare quali responsabili o incaricati del trattamento i 
sostituti, gli ausiliari, 1 tirocinanti e i praticanti presso il 
libero professionista, i quali, in tal caso, possono avere 
accesso ai soli dati strettamente pertinenti alla collabora- 
zione ad essi richiesta. 


Analoga cautela deve essere adottata in riferimento 
agli incaricati del trattamento preposti all’espletamento 
di compiti amministrativi. 


5) Conservazione dei dati. 


Nel rispetto dell’obbligo previsto dall’art. 11, com- 
ma 1, lettera e), del Codice, i dati sensibili possono essere 
conservati, per il periodo di tempo previsto dalla norma- 
tiva dell’Unione europea, da leggi, o da regolamenti e, 
comunque, per un periodo non superiore a quello stretta- 
mente necessario per adempiere agli incarichi conferiti. 


A tal fine, anche mediante controlli periodici, deve 
essere verificata la stretta pertinenza, non eccedenza e 
indispensabilità dei dati rispetto agli incarichi in corso, 
da instaurare o cessati, anche con riferimento ai dati che 
l’interessato fornisce di propria iniziativa. I dati che, an- 
che a seguito delle verifiche, risultano eccedenti o non 
pertinenti o non indispensabili non possono essere utiliz- 
zati, salvo che per l’eventuale conservazione, a norma di 
legge, dell’atto o del documento che li contiene. Specifica 
attenzione è prestata per l’indispensabilità dei dati riferiti 
a soggetti diversi da quelli cui si riferiscono direttamente 
le prestazioni e gli adempimenti. 

I dati acquisiti in occasione di precedenti incarichi pos- 
sono essere mantenuti se pertinenti, non eccedenti e indi- 
spensabili rispetto a successivi incarichi. 
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6) Comunicazione e diffusione dei dati. 


I dati sensibili possono essere comunicati e ove neces- 
sario diffusi, a soggetti pubblici o privati, nei limiti stret- 
tamente pertinenti all’espletamento dell’incarico conferi- 
to e nel rispetto, in ogni caso, del segreto professionale. 


I dati idonei a rivelare lo stato di salute possono essere 
comunicati solo se necessario per finalità di prevenzio- 
ne, accertamento o repressione dei reati, con l’osservanza 
delle norme che regolano la materia. 


I dati relativi allo stato di salute e alla vita sessuale non 
possono essere diffusi. 


7) Richieste di autorizzazione. 


I titolari dei trattamenti che rientrano nell’ambito di ap- 
plicazione della presente autorizzazione non sono tenuti 
a presentare una richiesta di autorizzazione a questa Au- 
torità, qualora il trattamento che si intende effettuare sia 
conforme alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perver- 
ranno anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante non prenderà in considerazione richieste 
di autorizzazione per trattamenti da effettuarsi in diffor- 
mità alle prescrizioni del presente provvedimento, salvo 
che, ai sensi dell’art. 41 del Codice, il loro accoglimen- 
to sia giustificato da circostanze del tutto particolari o 
da situazioni eccezionali non considerate nella presente 
autorizzazione. 


8) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge 
o di regolamento o dalla normativa dell’Unione europea 
che stabiliscono divieti o limiti più restrittivi in materia di 
trattamento di dati personali e, in particolare, dalle leggi 
20 maggio 1970, n. 300, e 5 giugno 1990, n. 135, come 
modificata dall’art. 178 del Codice, nonché dalle norme 
volte a prevenire discriminazioni. 


Restano fermi, altresì, gli obblighi di legge che vietano 
la rivelazione senza giusta causa e l’impiego a proprio o 
altrui profitto delle notizie coperte dal segreto professio- 
nale, nonché gli obblighi deontologici o di buona condot- 
ta relativi alle singole figure professionali. 


9) Efficacia temporale. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il Regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
Regolamento. 
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La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 


Il presidente 
SoRro 


Il relatore 
IANNINI 


Il segretario generale 
Busia 


16A08986 


AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili da parte 
di diverse categorie di titolari. (Autorizzazione n. 5/2016). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


In data odierna, con la partecipazione del dott. Anto- 
nello Soro, presidente, della dott.ssa Augusta Iannini, 
vicepresidente, della dott.ssa Giovanna Bianchi Clerici e 
della dott.ssa Licia Califano, componenti, e del dott. Giu- 
seppe Busia, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, re- 
cante il Codice in materia di protezione dei dati personali 
(di seguito «Codice»); 


Visto, in particolare, l’art. 4, comma 1, lett. d) del citato 
Codice, il quale individua 1 dati sensibili; 

Considerato che, ai sensi dell’art. 26, comma 1, del 
Codice, i soggetti privati e gli enti pubblici economici 
possono trattare i dati sensibili solo previa autorizzazio- 
ne di questa Autorità e, ove necessario, con il consenso 
scritto degli interessati, nell’osservanza dei presupposti 
e dei limiti stabiliti dal Codice, nonché dalla legge e dai 
regolamenti; 


Visto il decreto legislativo 4 marzo 2010, n. 28 di at- 
tuazione dell’art. 60 della legge 18 giugno 2009, n. 69, 
aggiornato dalla legge 9 agosto 2013, n. 98 e dalla legge 
10 novembre 2014, n. 162, in materia di mediazione fina- 
lizzata alla conciliazione delle controversie civili e com- 
merciali e il d.m. del 18 ottobre 2010, n. 180, emanato ai 
sensi dell’art. 16 del predetto decreto legislativo; 

Considerato che un elevato numero di trattamenti di 
dati sensibili è effettuato da parte degli organismi definiti 
a norma dell’art. 1, comma 1, lett. d) del decreto legislati- 
vo n. 28/2010 per l’espletamento delle rispettive attività; 

Vista l’autorizzazione n. 2/2016 al trattamento dei dati 
idonei a rivelare lo stato di salute e la vita sessuale; 

Ritenuto che il trattamento dei dati sensibili effettuato 
dagli organismi di mediazione ai sensi del decreto legi- 
slativo n. 28/2010 non sia riconducibile all’autorizzazio- 
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ne generale n. 4/2016, concernente il trattamento dei dati 
sensibili da parte dei liberi professionisti, in ragione del 
diverso ambito di applicazione e delle peculiari prescri- 
zioni ivi impartite; 

Considerato che il trattamento dei dati in questione può 
essere autorizzato dal Garante anche d’ufficio con prov- 
vedimenti di carattere generale, relativi a determinate ca- 
tegorie di titolari o di trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di carattere generale 
sinora rilasciate sono risultate uno strumento idoneo per 
prescrivere misure uniformi a garanzia degli interessati, 
rendendo altresì superflua la richiesta di singoli provve- 
dimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 31 dicembre 2016, 
armonizzando le prescrizioni già impartite alla luce 
dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizza- 
zioni siano provvisorie e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice, e, in particolare effica- 
ci fino al 24 maggio 2018, tenuto conto che a decorrere 
dal 25 maggio 2018 sarà applicabile il Regolamento (UE) 
2016/679, entrato in vigore il 24 maggio 2016, relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE; 


Considerata la necessità di garantire il rispetto di alcuni 
princìpi volti a ridurre al minimo i rischi di danno o di 
pericolo che i trattamenti potrebbero comportare per 1 di- 
ritti e le libertà fondamentali, nonché per la dignità delle 
persone, e in particolare, per il diritto alla protezione dei 
dati personali sancito dall’art. 1 del Codice; 


Considerato che un elevato numero di trattamen- 
ti di dati sensibili è effettuato da parte di soggetti ope- 
ranti in diversi settori di attività economiche di seguito 
individuate; 

Visto l’art. 11, comma 2, del Codice, il quale stabilisce 
che i dati trattati in violazione della disciplina rilevante 
in materia di trattamento di dati personali non possono 
essere utilizzati; 


Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all’ Allegato 8) al medesimo Codice, 
recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 


Visti gli articoli 42 e seguenti del Codice in materia di 
trasferimento di dati personali all’estero; 


Visto l’art. 167 del Codice; 
Visti gli atti d’ufficio; 
Viste le osservazioni dell'Ufficio formulate dal segre- 


tario generale ai sensi dell’art. 15 del regolamento del Ga- 
rante n. 1/2000; 


Relatore la dott.ssa Giovanna Bianchi Clerici; 


Autorizza: 


Il trattamento dei dati sensibili di cui all’art. 4, com- 
ma 1, lett. d), del Codice, fatta eccezione dei dati idonei a 


= dd. di 
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rivelare la vita sessuale, secondo le prescrizioni di seguito 
indicate. 


Prima di iniziare o proseguire il trattamento i sistemi 
informativi e i programmi informatici sono configurati 
riducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


CAPO I 


ATTIVITÀ BANCARIE, CREDITIZIE, ASSICURATIVE, 
DI GESTIONE DI FONDI, DEL SETTORE 
TURISTICO, DEL TRASPORTO ED ALTRE 
ATTIVITÀ AUTORIZZATE 


1) Soggetti ai quali è rilasciata l’autorizzazione. 


a) imprese autorizzate all’esercizio dell’attivi- 
tà bancaria e creditizia o assicurativa ed organismi che 
le riuniscono, anche se in stato di liquidazione coatta 
amministrativa; 


b) società ed altri organismi che gestiscono fon- 
di-pensione o di assistenza, ovvero fondi o casse di 
previdenza; 


c) società ed altri organismi di intermediazione fi- 
nanziaria, in particolare per la gestione o l’intermediazio- 
ne di fondi comuni di investimento o di valori mobiliari; 


d) società ed altri organismi che emettono carte di 
credito, altri mezzi di pagamento o che consentono forme 
di pagamento e ne gestiscono le relative operazioni; 


e) imprese che svolgono autonome attività stretta- 
mente connesse e strumentali a quelle indicate nelle pre- 
cedenti lettere, e relative alla rilevazione dei rischi, al 
recupero dei crediti, a lavorazioni massive di documen- 
ti, alla trasmissione dati, all’imbustamento o allo smista- 
mento della corrispondenza, nonché alla gestione di esat- 
torie o tesorerie; 


7) imprese che operano nel settore turistico o al- 
berghiero o del trasporto, agenzie di viaggio e operatori 
turistici; 

g) operatori economici autorizzati a svolgere la pro- 
pria attività in base ad autorizzazione comunque resa ai 
sensi delle norme contenute nel regio decreto 18 giugno 
1931, n. 773 (T.u.l.p.s.) o nel decreto legislativo 31 marzo 
1998, n. 112; 


2) Finalità del trattamento. 


La presente autorizzazione è rilasciata limitatamen- 
te ai dati e alle operazioni indispensabili per adempiere 
agli obblighi anche precontrattuali che i soggetti di cui 
al punto 1) assumono, nel proprio settore di attività, al 
fine di fornire specifici beni, prestazioni o servizi richiesti 
dall’interessato. 

L’autorizzazione è rilasciata altresì per adempiere o per 
esigere l'adempimento di obblighi previsti, anche in se- 
guito alla cessione per trasferimento di un ramo di azien- 
da, ovvero in materia fiscale e contabile, dalla normativa 
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dell’Unione europea, dalla legge, dai regolamenti, o dai 
contratti collettivi, o prescritti da autorità od organi di vi- 
gilanza o di controllo nei casi indicati dalla legge o dai 
regolamenti. 


Il trattamento avente tali finalità può riguardare anche 
la tenuta di registri e scritture contabili, di elenchi, di indi- 
rizzari e di altri documenti necessari per espletare compiti 
di organizzazione o di gestione amministrativa di impre- 
se, società, cooperative o consorzi. 


3) Interessati ai quali i dati si riferiscono e categorie di 
dati trattati. 


Il trattamento può riguardare i dati sensibili attinenti 
ai soggetti ai quali sono forniti i beni, le prestazioni o i 
servizi, in misura strettamente pertinente a quanto speci- 
ficamente richiesto dall’interessato che, ove necessario, 
abbia manifestato il proprio consenso scritto ed informa 
to. Nei medesimi limiti, è possibile trattare dati relativi a 
terzi, allorché non sia altrimenti possibile procedere alla 
fornitura al beneficiario dei beni, delle prestazioni o dei 
servizi. 

Qualora il consenso sia richiesto nei confronti di distin- 
ti titolari di trattamenti, la manifestazione di volontà deve 
riferirsi specificamente a ciascuno di essi. 


4) Comunicazione e diffusione dei dati. 


I dati sensibili possono essere comunicati, nei limiti 
strettamente pertinenti al perseguimento delle finalità di 
cui al punto 2), a soggetti pubblici o privati, ivi compresi 
fondi e casse di previdenza ed assistenza o società con- 
trollate e collegate ai sensi dell’art. 2359 del codice civi- 
le, nonché, ove necessario, ai familiari dell’interessato. 


I titolari del trattamento, anche ai fini dell’eventuale 
comunicazione ad altri titolari delle modifiche apportate 
ai dati in accoglimento di una richiesta dell’interessato 
(art. 7, comma 3, lettera c), del Codice), devono conser- 
vare un elenco dei destinatari delle comunicazioni effet- 
tuate, recante un’annotazione delle specifiche categorie di 
dati comunicati. 


I dati sensibili non possono essere diffusi. 


CAPO I 


SONDAGGI E RICERCHE 


1) Soggetti ai quali è rilasciata l’autorizzazione e fina- 
lità del trattamento. 


Imprese, società, istituti ed altri organismi o soggetti 
privati, ai soli fini del compimento di sondaggi di opinio- 
ne, di ricerche di mercato o di altre ricerche campionarie. 

Il sondaggio o la ricerca devono essere effettua- 
ti per scopi puntualmente determinati e legittimi, noti 
all’interessato. 


2) Interessati ai quali i dati si riferiscono e categorie di 
dati trattati. 


Il trattamento può riguardare i dati attinenti ai soggetti 
che abbiano manifestato il proprio consenso informato e 
che abbiano risposto a questionari o ad interviste effet- 
tuate nell’ambito di sondaggi di opinione, di ricerche di 
mercato o di altre ricerche campionarie. 
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Il consenso deve essere manifestato in ogni caso per 
Iscritto. 


I dati personali di natura sensibile possono essere trat- 
tati solo se il trattamento di dati anonimi non permette al 
sondaggio o alla ricerca di raggiungere 1 suoi scopi. 


3) Conservazione dei dati. 


Il trattamento successivo alla raccolta non deve per- 
mettere di identificare gli interessati, neanche indiret- 
tamente, mediante un riferimento ad una qualsiasi altra 
informazione. 


I dati personali, individuali o aggregati, devono essere 
distrutti o resi anonimi subito dopo la raccolta, e comun- 
que non oltre la fase contestuale alla registrazione dei 
campioni raccolti. La registrazione deve essere effettuata 
senza ritardo anche nel caso in cui i campioni siano stati 
raccolti in numero elevato. 


Entro tale ambito temporale, resta ferma la possibilità 
per il titolare della raccolta, nonché per i suoi responsabili 
o incaricati, di utilizzare i dati personali al fine di verifi- 
care presso gli interessati la veridicità o l’esattezza dei 
campioni. 


4) Comunicazione dei dati. 


I dati sensibili non possono essere né comunicati, né 
diffusi. 


I campioni del sondaggio o della ricerca possono esse- 
re comunicati o diffusi in forma individuale o aggregata, 
sempre che non possano essere associati, anche a seguito 
di trattamento, ad interessati identificati o identificabili. 


CAPO II 


ATTIVITÀ DI ELABORAZIONE DI DATI 


1) Soggetti ai quali è rilasciata l’autorizzazione. 


Imprese, società, istituti ed altri organismi o soggetti 
privati, titolari autonomi di un'attività svolta nell’inte- 
resse di altri soggetti, e che presuppone l’elaborazione di 
dati ed altre operazioni di trattamento eseguite in materia 
di lavoro, ovvero a fini contabili, retributivi, previdenzia- 
li, assistenziali e fiscali. 


2) Prescrizioni applicabili. 
Il trattamento è regolato dalle autorizzazioni: 


a) n. 1/2016 concernente il trattamento dei dati sen- 
sibili a cura, in particolare, delle parti di un rapporto di 
lavoro qualora le finalità perseguite siano quelle indicate 
al punto 3) di tale autorizzazione; 


b) n. 4/2016 riguardante il trattamento dei dati sen- 
sibili ad opera dei liberi professionisti e di altri soggetti 
equiparati, qualora le finalità perseguite siano quelle indi- 
cate al punto 3) di tale autorizzazione. 


Qualora il consenso sia richiesto nei confronti di distin- 
ti titolari di trattamenti, la manifestazione di volontà deve 
riferirsi specificamente a ciascuno di essi. 
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CAPO IV 


ATTIVITÀ DI SELEZIONE DEL PERSONALE 


1) Soggetti ai quali è rilasciata l’autorizzazione e fina- 
lità del trattamento. 


La presente autorizzazione è rilasciata alle agenzie per 
il lavoro e agli altri soggetti che, in conformità alla legge, 
svolgono, nell’interesse di terzi, attività di intermediazio- 
ne, ricerca e selezione del personale o supporto alla ricol- 
locazione professionale. 


2) Interessati ai quali i dati si riferiscono e categorie di 
dati trattati. 


Il trattamento può riguardare i dati idonei a rivelare lo 
stato di salute e l’origine razziale ed etnica dei candidati 
all’instaurazione di un rapporto di lavoro o di collabora- 
zione, solo se la loro raccolta è giustificata da scopi de- 
terminati e legittimi ed è strettamente indispensabile per 
instaurare tale rapporto. 


Il trattamento dei dati idonei a rivelare lo stato di salute 
dei familiari o dei conviventi dei candidati è consentito 
con il consenso scritto degli interessati e qualora sia fina- 
lizzato al riconoscimento di uno specifico beneficio in fa- 
vore dei candidati, in particolare ai fini di un’assunzione 
obbligatoria o del riconoscimento di un titolo derivante 
da invalidità o infermità, da eventi bellici o da ragioni di 
servizio. 


Qualora il consenso sia richiesto nei confronti di distin- 
ti titolari di trattamenti, la manifestazione di volontà deve 
riferirsi specificamente a ciascuno di essi. 


Il trattamento deve riguardare le sole informazioni 
strettamente pertinenti a tali finalità, sia in caso di risposta 
a questionari inviati anche per via telematica, sia nel caso 
in cui i candidati forniscano dati di propria iniziativa, in 
particolare attraverso l’invio di curricula. 


Non è consentito il trattamento dei dati: 


a) idonei a rivelare le convinzioni religiose, filoso- 
fiche o di altro genere, le opinioni politiche, l’adesione a 
partiti, sindacati, associazioni a carattere religioso, filo- 
sofico, politico o sindacale, l’origine razziale ed etnica 
— fatto salvo quanto sopra stabilito —, e la vita sessuale; 


b) inerenti a fatti non rilevanti ai fini della valutazio- 
ne dell’attitudine professionale del lavoratore; 


c) in violazione delle norme in materia di pari oppor- 
tunità o volte a prevenire discriminazioni. 


3) Comunicazione e diffusione dei dati. 

I dati idonei a rivelare lo stato di salute e l’origine raz- 
ziale ed etnica possono essere comunicati nei limiti stret- 
tamente pertinenti al perseguimento delle finalità di cui 
ai punti 1) e 2), a soggetti pubblici o privati che siano 
specificamente menzionati nella dichiarazione di consen- 
so dell’interessato. 

I dati sensibili non possono essere diffusi. 

4) Norme finali. 


Restano fermi gli ulteriori obblighi previsti dalla legge 
e dai regolamenti. 


29-12-2016 
CAPO V 


MEDIAZIONE A FINI MATRIMONIALI 


1) Soggetti ai quali è rilasciata l’autorizzazione 


La presente autorizzazione è rilasciata alle imprese, 
alle società, agli istituti e agli altri organismi o soggetti 
privati che esercitano, anche attraverso agenzie autoriz- 
zate, un’attività di mediazione a fini matrimoniali o di 
instaurazione di un rapporto di convivenza. 


2) Finalità del trattamento. 


L’autorizzazione è rilasciata ai soli fini dell’esecuzione 
dei singoli incarichi conferiti in conformità alle leggi e ai 
regolamenti. 


3) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare i soli dati sensibili atti- 
nenti alle persone direttamente interessate al matrimonio 
o alla convivenza. 


Non è consentito il trattamento di dati relativo a per- 
sone minori di età in base all’ordinamento del Paese di 
appartenenza o, comunque, in base alla legge italiana. 


4) Categorie di dati oggetto di trattamento. 


Il trattamento può riguardare i soli dati e le sole ope- 
razioni che risultino indispensabili in relazione allo spe- 
cifico profilo o alla personalità descritti o richiesti dalle 
persone interessate al matrimonio o alla convivenza. 


I dati devono essere forniti personalmente dai medesi- 
mi interessati. 


L’informativa preliminare al consenso scritto deve por- 
re in particolare evidenza le categorie di dati trattati e le 
modalità della loro comunicazione a terzi. 


5) Comunicazione dei dati. 


I dati possono essere comunicati nei limiti strettamente 
pertinenti all’esecuzione degli specifici incarichi ricevuti. 


I titolari del trattamento, anche ai fini dell’eventuale 
comunicazione ad altri titolari delle modifiche apportate 
ai dati in accoglimento di una richiesta dell’interessato 
(art. 7, comma 3, lettera c), del Codice), devono conser- 
vare un elenco dei destinatari delle comunicazioni effet- 
tuate, recante un’annotazione delle specifiche categorie di 
dati comunicati. 


L'eventuale diffusione anche per via telematica di talu- 
ni dati sensibili deve essere oggetto di apposita autorizza- 
zione di questa Autorità. 

6) Norme finali. 

Restano fermi gli ulteriori obblighi previsti dalla legge 
e dai regolamenti, in particolare nell’ambito della legge 
penale e della disciplina di pubblica sicurezza, nonché in 
materia di tutela dei minori. 


CAPO VI 


MEDIAZIONE FINALIZZATA — ALLA CON- 
CILIAZIONE DELLE CONTROVERSIE E CIVILI E 
COMMERCIALI 


1) Soggetti ai quali è rilasciata l’autorizzazione. 
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La presente autorizzazione è rilasciata agli organismi 
di mediazione privati di cui all’art. 1, comma 1 del de- 
creto legislativo 4 marzo 2010, n. 28 e successive modifi- 
cazioni e integrazioni per l’espletamento delle attività di 
mediazione finalizzata alla conciliazione delle controver- 
sie civili e commerciali. 


2) Finalità del trattamento. 


L’autorizzazione è rilasciata ai soli fini dell’espleta- 
mento di un’attività che rientri tra quelle che i soggetti 
indicati al punto 1) possono svolgere ai sensi del decreto 
legislativo n. 28/2010 e successive modifiche ed integra- 
zioni e, in particolare, per assistere due o più soggetti sia 
nella ricerca di un accordo amichevole per la composi- 
zione di una controversia, sia, ove tale accordo non venga 
raggiunto, nella formulazione di una proposta per la riso- 
luzione della stessa. Qualora i dati siano idonei a rivelare 
lo stato di salute e la vita sessuale, il diritto da far valere o 
difendere deve essere di rango pari a quello dell’interes- 
sato, ovvero consistente in un diritto della personalità o in 
un altro diritto o libertà fondamentale e inviolabile. 


3) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare i soli dati sensibili atti- 
nenti ai soggetti coinvolti nella controversia oggetto di 
conciliazione. 


I dati sensibili relativi a terzi possono essere trattati 
ove ciò sia strettamente indispensabile per l’attività di 
mediazione. 

4) Categorie di dati oggetto di trattamento e modalità 
del trattamento. 

Il trattamento può riguardare i soli dati e le sole ope- 
razioni che risultino indispensabili, pertinenti e non ec- 
cedenti in relazione alla specifica controversia oggetto di 
mediazione e rispetto ad attività che non possano essere 
svolte mediante il trattamento di dati anonimi o di dati 
personali di natura diversa. 

Il trattamento dei dati idonei a rivelare lo stato di salute 
e la vita sessuale deve essere effettuato anche nel rispetto 
della citata autorizzazione generale n. 2/2016. 

L’informativa preliminare al consenso scritto deve por- 
re in particolare evidenza le categorie di dati trattati e le 
modalità della loro comunicazione. 

5) Comunicazione dei dati. 

I dati sensibili possono essere comunicati, alle parti nel 
procedimento di mediazione finalizzata alla conciliazione 
delle controversie civili e commerciali, nei limiti stretta- 
mente pertinenti all’espletamento dello specifico incarico 
di mediazione conferito e nel rispetto delle restrizioni e 
dei limiti di cui al decreto legislativo n. 28/2010 e succes- 
sive modificazioni e integrazioni. 

I dati sensibili non possono essere diffusi. 


CAPO VII 


SERVIZI DIGITALI 


1) Soggetti ai quali è rilasciata l’autorizzazione. 
La presente autorizzazione è rilasciata a: 


a) fornitori di prodotti e servizi digitali acquistati 
tramite credito telefonico (mobile remote payment); 
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b) fornitori di prodotti e servizi di TV interattiva. 

2) Finalità del trattamento. 

L’autorizzazione è rilasciata ai soli fini dell’adempi- 
mento degli obblighi, anche precontrattuali, derivanti da 
un rapporto di fornitura all’interessato di beni, prestazioni 
e servizi digitali nell’ambito del mobile remote payment e 
della TV interattiva. 

3) Interessati ai quali i dati si riferiscono e categorie di 
dati trattati. 

Il trattamento può riguardare i dati sensibili, ivi com- 
presi quelli idonei a rivelare la vita sessuale, attinenti ai 
soggetti ai quali sono forniti beni, prestazioni e servizi 
digitali nell’ambito del mobile remote payment e della 
TV interattiva. 

Il trattamento deve riferirsi ai dati ed alle operazioni 
strettamente indispensabili a quanto specificatamente ri- 
chiesto dall’interessato che abbia reso il proprio consenso 
informato, manifestato in forma scritta, ovvero tramite 
forme alternative equiparabili allo scritto. 


Il trattamento dei dati idonei a rivelare la vita sessuale 
deve essere effettuato anche nel rispetto della citata auto- 
rizzazione generale n. 2/2016. 

Qualora il consenso sia richiesto da parte di distinti ti- 
tolari la manifestazione di volontà deve riferirsi specifica- 
tamente a ciascuno di essi. 


4) Comunicazione e diffusione dei dati. 

La comunicazione dei dati deve avvenire nei limiti 
strettamente pertinenti all’espletamento dello specifico 
servizio richiesto, nonché nel rispetto della disciplina di 
settore, delle norme in materia di protezione dei dati per- 
sonali e dei provvedimenti del Garante. 

I dati sensibili non possono essere diffusi. 

5) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge 
o di regolamento o dalla normativa dell’Unione europea 
che stabiliscono divieti o limiti più restrittivi in materia di 
trattamento di dati personali. 

Restano fermi, altresì, gli obblighi di legge che vietano 
la rivelazione senza giusta causa e l’impiego a proprio 0 
altrui profitto delle notizie coperte da segreto professiona- 
le, nonché gli obblighi deontologici o di buona condotta 
relativi alle singole figure professionali. 


CAPO VII 


PRESCRIZIONI COMUNI A TUTTI I TRATTAMENTI 


Per quanto non previsto dai capi che precedono, ai 
trattamenti ivi indicati si applicano, altresì, le seguenti 
prescrizioni: 

1) Dati idonei a rivelare lo stato di salute. 


Il trattamento dei dati idonei a rivelare lo stato di salute 
deve essere effettuato anche nel rispetto dell’autorizza- 
zione n. 2/2016. 


Il trattamento di dati genetici resta autorizzato nei limi- 
ti e alle condizioni individuati nell’autorizzazione adotta- 
ta ai sensi dell’art. 90 del Codice. 


2) Modalità di trattamento. 
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Fermi restando gli obblighi previsti dagli articoli 11 e 
14 del Codice, dagli articoli 31 e seguenti del Codice e 
dall’ Allegato B) al Codice, il trattamento dei dati sensibili 
deve essere effettuato unicamente con operazioni, nonché 
con logiche e mediante forme di organizzazione dei dati 
strettamente indispensabili in rapporto alle finalità indica- 
te nei capi che precedono. 


La comunicazione di dati all’interessato deve avvenire 
di regola direttamente a quest’ultimo o a un suo delegato 
(fermo restando quanto previsto dall’art. 84, comma 1, 
del Codice), in plico chiuso o con altro mezzo idoneo a 
prevenire la conoscenza da parte di soggetti non autoriz- 
zati, anche attraverso la previsione di distanze di cortesia. 


Resta inoltre fermo l’obbligo di informare l’interessa- 
to, ai sensi dell’art. 13, commi 1, 4 e 5 del Codice, anche 
quando i dati sono raccolti presso terzi. 


3) Conservazione dei dati. 


Nel rispetto dell’obbligo previsto dall’art. 11, com- 
ma 1, lett. e) del Codice, i dati sensibili possono essere 
conservati per un periodo non superiore a quello neces- 
sario per perseguire le finalità, ovvero per adempiere agli 
obblighi o agli incarichi menzionati nei precedenti capi. 
A tal fine, anche mediante controlli periodici, deve es- 
sere verificata costantemente la stretta pertinenza, non 
eccedenza e indispensabilità dei dati rispetto al rappor- 
to, alla prestazione o all’incarico in corso, da instaurare 
o cessati, anche con riferimento ai dati che l’interessato 
fornisce di propria iniziativa. I dati che, anche a seguito 
delle verifiche, risultano eccedenti o non pertinenti o non 
indispensabili non possono essere utilizzati, salvo che 
per l’eventuale conservazione, a norma di legge, dell’atto 
o del documento che li contiene. Specifica attenzione è 
prestata per l’indispensabilità dei dati riferiti a soggetti 
diversi da quelli cui si riferiscono direttamente le presta- 
zioni e gli adempimenti. 

Restano fermi i diversi termini di conservazione previ- 
sti dalle leggi o dai regolamenti. 


Resta altresì fermo quanto previsto nel capo II in mate- 
ria di sondaggi e di ricerche. 


4) Richiesta di autorizzazione. 


I titolari dei trattamenti che rientrano nell’ambito di ap- 
plicazione della presente autorizzazione non sono tenuti 
a presentare una richiesta di autorizzazione a questa Au- 
torità, qualora il trattamento che si intende effettuare sia 
conforme alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perver- 
ranno anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante non prenderà in considerazione richieste 
di autorizzazione per trattamenti da effettuarsi in diffor- 
mità alle prescrizioni del presente provvedimento, salvo 
che, ai sensi dell’art. 41 del Codice, il loro accoglimen- 
to sia giustificato da circostanze del tutto particolari o 
da situazioni eccezionali non considerate nella presente 
autorizzazione. 


5) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge 
o di regolamento e dalla normativa dell’Unione europea, 
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che stabiliscono divieti o limiti più restrittivi in materia di 
trattamento di dati personali e, in particolare: 


a) dalla legge 20 maggio 1970, n. 300; 
b) dalla legge 5 giugno 1990, n. 135; 
c) dal decreto legislativo 10 settembre 2003, n. 276. 


Restano altresì fermi gli obblighi di legge che vietano 
la rivelazione senza giusta causa e l’impiego a proprio 0 
altrui profitto delle notizie coperte dal segreto professio- 
nale, nonché gli obblighi deontologici, previsti anche dai 
codici deontologici e di buona condotta adottati in attua- 
zione dell’art. 12 del Codice. 


Resta ferma, infine, la possibilità di diffondere dati 
anonimi anche aggregati. 


6) Efficacia temporale. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il Regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
Regolamento. 


La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 


Il presidente 
Soro 


Il relatore 
Bianchi Clerici 


Il segretario generale 
Busia 
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AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati sensibili da parte 
degli investigatori privati. (Autorizzazione n. 6/2016). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


In data odierna, con la partecipazione del dott. Anto- 
nello Soro, presidente, della dott.ssa Augusta Iannini, 
vicepresidente, della dott.ssa Giovanna Bianchi Clerici e 
della prof.ssa Licia Califano, componenti, e del dott. Giu- 
seppe Busia, segretario generale; 
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Visto il decreto legislativo 30 giugno 2003, n. 196, re- 
cante il Codice in materia di protezione dei dati personali 
(di seguito «Codice»); 


Visto, in particolare, l’art. 4, comma 1, lettera d), del 
citato Codice, il quale individua i dati sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del 
Codice, i soggetti privati e gli enti pubblici economici 
possono trattare i dati sensibili solo previa autorizzazio- 
ne di questa Autorità e, ove necessario, con il consenso 
scritto degli interessati, nell’osservanza dei presupposti 
e dei limiti stabiliti dal Codice, nonché dalla legge e dai 
regolamenti; 


Visto il comma 4, lettera c), del medesimo art. 26, il 
quale stabilisce che 1 dati sensibili possono essere ogget- 
to di trattamento anche senza consenso, previa autoriz- 
zazione del Garante, quando il trattamento medesimo è 
necessario per svolgere una investigazione difensiva ai 
sensi della legge 7 dicembre 2000, n. 397 0, comunque, 
per far valere o difendere in sede giudiziaria un diritto, 
sempre che i dati siano trattati esclusivamente per tali fi- 
nalità e per il periodo strettamente necessario al loro per- 
seguimento, e che, quando i dati siano idonei a rivelare lo 
stato di salute e la vita sessuale dell’interessato il diritto 
sia di rango pari a quello dell’interessato, ovvero consi- 
sta in un diritto della personalità o in altri diritti o libertà 
fondamentali; 


Considerato che il trattamento dei dati in questione può 
essere autorizzato dal Garante anche d’ufficio con prov- 
vedimenti di carattere generale, relativi a determinate ca- 
tegorie di titolari o di trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di carattere generale 
sinora rilasciate sono risultate uno strumento idoneo per 
prescrivere misure uniformi a garanzia degli interessati, 
rendendo altresì superflua la richiesta di singoli provve- 
dimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 31 dicembre 2016, 
armonizzando le prescrizioni già impartite alla luce 
dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizza- 
zioni siano provvisorie e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice, e, in particolare, effi- 
caci fino al 24 maggio 2018, tenuto conto che a decorrere 
dal 25 maggio 2018 sarà applicabile il regolamento (UE) 
2016/679, entrato in vigore il 24 maggio 2016, relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE; 


Considerata la necessità di garantire il rispetto di alcuni 
princìpi volti a ridurre al minimo i rischi di danno o di 
pericolo che i trattamenti potrebbero comportare per 1 di- 
ritti e le libertà fondamentali, nonché per la dignità delle 
persone, e, in particolare, per il diritto alla protezione dei 
dati personali sancito dall’art. 1 del Codice; 


Considerato che il Garante ha rilasciato un’autorizza- 
zione di ordine generale relativa ai dati idonei a rivelare 
lo stato di salute e la vita sessuale (n. 2/2016), anche in 
riferimento alle predette finalità di ordine giudiziario; 
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Considerato che numerosi trattamenti aventi tali fina- 
lità sono effettuati con l’ausilio di investigatori privati, e 
che è pertanto opportuno integrare anche le prescrizioni 
dell’autorizzazione n. 2/2016 mediante un ulteriore prov- 
vedimento di ordine generale che tenga conto dello spe- 
cifico contesto dell’investigazione privata, anche al fine 
di armonizzare le prescrizioni da impartire alla categoria; 


Considerato che ulteriori misure ed accorgimenti sono 
state prescritti dal Garante con il codice di deontologia e 
di buona condotta per i trattamenti di dati personali ef- 
fettuati per svolgere investigazioni difensive emanato ai 
sensi dell’art. 12 del Codice (deliberazione del Garante 
n. 60 del 6 novembre 2008, in Gazzetta Ufficiale 24 no- 
vembre 2008, n. 275); 

Visto l’art. 11, comma 2, del Codice, il quale stabilisce 
che i dati trattati in violazione della disciplina rilevante 
in materia di trattamento di dati personali non possono 
essere utilizzati; 

Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all’ Allegato 8) al medesimo Codice 
recanti norme e regole sulle misure di sicurezza; 

Visto l’art. 41 del Codice; 


Visti gli articoli 42 e seguenti del Codice in materia di 
trasferimento di dati personali all’estero; 

Visto l’art. 167 del Codice; 

Visti gli atti d’ufficio; 

Viste le osservazioni dell’Ufficio formulate dal segre- 
tario generale ai sensi dell’art. 15 del regolamento del Ga- 
rante n. 1/2000; 

Relatore la dott.ssa Augusta lannini; 


Autorizza 


gli investigatori privati a trattare i dati sensibili di cui 
all’art. 4, comma 1, lettera d), del Codice, secondo le pre- 
scrizioni di seguito indicate. 

Prima di iniziare o proseguire il trattamento i sistemi 
informativi e i programmi informatici sono configurati 
riducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


1) Ambito di applicazione. 


La presente autorizzazione è rilasciata alle persone fi- 
siche e giuridiche, agli istituti, agli enti, alle associazioni 
e agli organismi che esercitano un’attività di investiga- 
zione privata autorizzata con licenza prefettizia (art. 134 
del regio decreto 18 giugno 1931, n. 773, e successive 
modificazioni e integrazioni). 


2) Finalità del trattamento. 


Il trattamento può essere effettuato unicamente per 
l’espletamento dell’incarico ricevuto dai soggetti di cui al 
punto 1) e in particolare: 

a) per permettere a chi conferisce uno specifico inca- 
rico di far valere o difendere in sede giudiziaria un proprio 
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diritto, che, quando i dati siano idonei a rivelare lo stato 
di salute e la vita sessuale dell’interessato, deve essere di 
rango pari a quello del soggetto al quale si riferiscono i 
dati, ovvero consistente in un diritto della personalità o in 
un altro diritto o libertà fondamentale; 


b) su incarico di un difensore in riferimento ad un 
procedimento penale, per ricercare e individuare elemen- 
ti a favore del relativo assistito da utilizzare ai soli fini 
dell’esercizio del diritto alla prova (art. 190 del codice di 
procedura penale e legge 7 dicembre 2000, n. 397). 


Restano ferme le altre autorizzazioni generali rilasciate 
ai fini dello svolgimento delle investigazioni in relazione 
ad un procedimento penale o per l’esercizio di un diritto 
in sede giudiziaria, in particolare: 

a) nell’ambito dei rapporti di lavoro (autorizzazione 
n. 1/2016); 


b) relativamente ai dati idonei a rivelare lo stato di 
salute e la vita sessuale (autorizzazione n. 2/2016); 


c) da parte degli organismi di tipo associativo e delle 
fondazioni (autorizzazione n. 3/2016); 


d) da parte dei liberi professionisti iscritti in albi o 
elenchi professionali, ivi inclusi i difensori e i relativi so- 
stituti ed ausiliari (autorizzazione n. 4/2016); 


e) relativamente ai dati di carattere giudiziario (auto- 
rizzazione n. 7/2016). 


3) Categorie di dati e interessati ai quali i dati si 
riferiscono. 


Il trattamento può riguardare i dati sensibili di cui 
all’art. 4, comma 1, lettera d) del Codice, qualora ciò sia 
strettamente indispensabile per eseguire specifici incari- 
chi conferiti per scopi determinati e legittimi nell’ambito 
delle finalità di cui al punto 1), che non possano essere 
adempiute mediante il trattamento di dati anonimi o di 
dati personali di natura diversa. 


I dati devono essere pertinenti e non eccedenti rispetto 
agli incarichi conferiti. 


4) Modalità di trattamento. 


Gli investigatori privati non possono intraprendere di 
propria iniziativa investigazioni, ricerche o altre forme 
di raccolta di dati. Tali attività possono essere eseguite 
esclusivamente sulla base di un apposito incarico confe- 
rito per iscritto, anche da un difensore, per le esclusive 
finalità di cui al punto 2). 


L’atto di incarico deve menzionare in maniera specifi- 
ca il diritto che si intende esercitare in sede giudiziaria, 
ovvero il procedimento penale al quale l’investigazione è 
collegata, nonché i principali elementi di fatto che giusti- 
ficano l’investigazione e il termine ragionevole entro cui 
questa deve essere conclusa. 


Fermi restando gli obblighi previsti dagli articoli 11 
e 14 del Codice, nonché dagli articoli 31 e seguenti del 
Codice e dall’ Allegato B) al medesimo Codice, il tratta- 
mento dei dati sensibili deve essere effettuato unicamente 
con operazioni, nonché con logiche e mediante forme di 
organizzazione dei dati strettamente indispensabili in rap- 
porto alle finalità di cui al punto 2). 
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L’interessato o la persona presso la quale sono raccolti 
i dati deve essere informata ai sensi dell’art. 13 del Codi- 
ce, ponendo in particolare evidenza l’identità e la qualità 
professionale dell’investigatore, nonché la natura facolta- 
tiva del conferimento dei dati. 


Nel caso in cui i dati siano raccolti presso terzi, è neces- 
sario informare l’interessato e acquisire il suo consenso 
scritto (art. 13, commi 1,4 e 5 e art. 26, comma 4, del Co- 
dice), solo se i dati sono trattati per un periodo superiore 
a quello strettamente necessario per esercitare il diritto in 
sede giudiziaria o per svolgere le investigazioni difensi- 
ve, oppure se i dati sono utilizzati per ulteriori finalità non 
incompatibili con quelle precedentemente perseguite. 


Il difensore o il soggetto che ha conferito l’incarico 
devono essere informati periodicamente dell’andamento 
dell’investigazione, anche al fine di permettere loro una 
valutazione tempestiva circa le determinazioni da adotta- 
re riguardo all’esercizio del diritto in sede giudiziaria o al 
diritto alla prova. 


L’investigatore privato deve eseguire personalmente 
l’incarico ricevuto e non può avvalersi di altri investi- 
gatori non indicati nominativamente all’atto del conferi- 
mento dell’incarico, oppure successivamente in calce a 
esso qualora tale possibilità sia stata prevista nell’atto di 
incarico. 


Nel caso in cui si avvalga di collaboratori interni de- 
signati quali responsabili o incaricati del trattamento in 
conformità a quanto previsto dagli articoli 29 e 30 del 
Codice, l’investigatore privato deve vigilare con cadenza 
almeno settimanale sulla puntuale osservanza delle nor- 
me di legge e delle istruzioni impartite. Tali soggetti pos- 
sono avere accesso ai soli dati strettamente pertinenti alla 
collaborazione ad essi richiesta. 


Per quanto non previsto nella presente autorizzazione, 
il trattamento dei dati idonei a rivelare lo stato di salute 
e la vita sessuale deve essere effettuato nel rispetto delle 
ulteriori prescrizioni contenute nell’autorizzazione ge- 
nerale n. 2/2016 e, per ciò che riguarda le informazioni 
relative ai dati genetici, nel rispetto dell’autorizzazione 
adottata ai sensi dell’art. 90 del Codice. 


Il trattamento dei dati deve inoltre rispettare le pre- 
scrizioni del codice di deontologia e di buona condotta 
per i trattamenti di dati personali effettuati per svolgere 
investigazioni difensive emanato ai sensi dell’art. 12 del 
Codice (deliberazione del Garante n. 60 del 6 novembre 
2008, in Gazzetta Ufficiale 24 novembre 2008, n. 275). 


5) Conservazione dei dati. 


Nel quadro del rispetto dell’obbligo previsto 
dall’art. 11, comma 1, lettera e), del Codice i dati sensibi- 
li possono essere conservati per un periodo non superiore 
a quello strettamente necessario per eseguire l’incarico 
ricevuto. 


A tal fine deve essere verificata costantemente, anche 
mediante controlli periodici, la stretta pertinenza, non 
eccedenza e indispensabilità dei dati rispetto alle finalità 
perseguite e all’incarico conferito. 

Una volta conclusa la specifica attività investigativa, 
il trattamento deve cessare in ogni sua forma, fatta ec- 
cezione per l’immediata comunicazione al difensore o 
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al soggetto che ha conferito l’incarico i quali possono 
consentire, anche in sede di mandato, l’eventuale conser- 
vazione temporanea di materiale strettamente personale 
dei soggetti che hanno curato l’attività svolta, ai soli fini 
dell’eventuale dimostrazione della liceità e correttezza 
del proprio operato. Se è stato contestato il trattamento il 
difensore o il soggetto che ha conferito l’incarico possono 
anche fornire all’investigatore il materiale necessario per 
dimostrare la liceità e correttezza del proprio operato, per 
il tempo a ciò strettamente necessario. 


La sola pendenza del procedimento al quale l’inve- 
stigazione è collegata, ovvero il passaggio ad altre fasi 
di giudizio in attesa della formazione del giudicato, non 
costituiscono, di per se stessi, una giustificazione valida 
per la conservazione dei dati da parte dell’investigatore 
privato. 


6) Comunicazione e diffusione dei dati. 


I dati possono essere comunicati unicamente al sogget- 
to che ha conferito l’incarico. 


I dati non possono essere comunicati ad un altro inve- 
stigatore privato, salvo che questi sia stato indicato nomi- 
nativamente nell’atto di incarico e la comunicazione sia 
necessaria per lo svolgimento dei compiti affidati. 


I dati idonei a rivelare lo stato di salute possono essere 
comunicati alle autorità competenti solo se ciò è necessa- 
rio per finalità di prevenzione, accertamento o repressio- 
ne dei reati, con l’osservanza delle norme che regolano 
la materia. 


I dati relativi allo stato di salute e alla vita sessuale non 
possono essere diffusi. 


7) Richieste di autorizzazione. 


I titolari dei trattamenti che rientrano nell’ambito di ap- 
plicazione della presente autorizzazione non sono tenuti 
a presentare una richiesta di autorizzazione a questa Au- 
torità, qualora il trattamento che si intende effettuare sia 
conforme alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perver- 
ranno anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante non prenderà in considerazione richieste 
di autorizzazione per trattamenti da effettuarsi in diffor- 
mità alle prescrizioni del presente provvedimento, salvo 
che, ai sensi dell’art. 41 del Codice, il loro accoglimen- 
to sia giustificato da circostanze del tutto particolari o 
da situazioni eccezionali non considerate nella presente 
autorizzazione. 


8) Norme finali. 


Restano fermi gli obblighi previsti dalla normativa 
dell’Unione europea, ovvero da norme di legge o di re- 
golamento, che stabiliscono divieti o limiti in materia di 
trattamento di dati personali e, in particolare: 

a) dagli articoli 4 (impianti e apparecchiature per fi- 
nalità di controllo a distanza dei lavoratori) e 8 (indagini 
sulle opinioni del lavoratore o su altri fatti non rilevanti ai 
fini della valutazione dell’attitudine professionale) della 
legge 20 maggio 1970, n. 300 e dall’art. 10 (indagini sulle 
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opinioni del lavoratore e trattamenti discriminatori) del 
decreto legislativo 10 settembre 2003, n. 276; 


b) dalla legge 5 giugno 1990, n. 135, in materia di 
sieropositività e di infezione da HIV; 


c) dalle norme volte a prevenire discriminazioni; 


d) dall’art. 734-bis del codice penale, il quale vieta la 
divulgazione non consensuale delle generalità o dell’im- 
magine della persona offesa da atti di violenza sessuale. 


Restano fermi, in particolare, gli obblighi previsti in 
tema di liceità e di correttezza nell’uso di strumenti o ap- 
parecchiature che permettono la raccolta di informazioni 
anche sonore o visive, ovvero in tema di accesso a banche 
dati o di cognizione del contenuto della corrispondenza e 
di comunicazioni o conversazioni telefoniche, telemati- 
che o tra soggetti presenti. 


Resta ferma la facoltà per le persone fisiche di trat- 
tare direttamente dati per l’esclusivo fine della tutela di 
un proprio diritto in sede giudiziaria, anche nell’ambito 
delle investigazioni relative ad un procedimento penale. 
In tali casi, il Codice non si applica anche se i dati sono 
comunicati occasionalmente ad una autorità giudiziaria 0 
a terzi, sempre che i dati non siano destinati ad una comu- 
nicazione sistematica o alla diffusione (art. 5, comma 3, 


del Codice). 


9) Efficacia temporale. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
regolamento. 


La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 


Il presidente 
Soro 


Il relatore 
IANNINI 


Il segretario generale 
Busia 
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AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione al trattamento dei dati giudiziari da parte 
di privati, di enti pubblici economici e di soggetti pubblici. 
(Autorizzazione n. 7/2016). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


In data odierna, in presenza del dott. Antonello Soro, 
presidente, della dott.ssa Augusta Iannini, vicepresidente, 
della dott.ssa Giovanna Bianchi Clerici e della prof.ssa 
Licia Califano, componenti, e del dott. Giuseppe Busia, 
segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, re- 
cante il Codice in materia di protezione dei dati personali 
(di seguito «Codice»); 

Visto l’art. 4, comma 1, lettera e) del Codice, il quale 
individua 1 dati giudiziari; 

Visti, in particolare, gli articoli 21, comma 1, e 27 del 
Codice, che consentono il trattamento di dati giudiziari, 
rispettivamente, da parte di soggetti pubblici e di privati 
o di enti pubblici economici, soltanto se autorizzato da 
espressa disposizione di legge o provvedimento del Ga- 
rante che specifichino le finalità di rilevante interesse 
pubblico del trattamento, i tipi di dati trattati e le precise 
operazioni eseguibili; 

Visti gli articoli 21, comma 2, e 20, commi 2 e 4, e 
le disposizioni relative a specifici settori di cui alla Parte 
II del Codice e, in particolare, i Capi III e IV del Titolo 
IV, nel quale sono indicate finalità di rilevante interesse 
pubblico che rendono ammissibile il trattamento di dati 
giudiziari da parte di soggetti pubblici; 

Visto l’art. 22 del Codice, che enuncia i princìpi appli- 
cabili al trattamento di dati sensibili e giudiziari da parte 
di soggetti pubblici; 

Considerato che il trattamento dei dati in questione può 
essere autorizzato dal Garante anche d’ufficio con prov- 
vedimenti di carattere generale, relativi a determinate ca- 
tegorie di titolari o di trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di carattere generale 
sinora rilasciate sono risultate uno strumento idoneo per 
prescrivere misure uniformi a garanzia degli interessati, 
rendendo altresì superflua la richiesta di singoli provve- 
dimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 31 dicembre 2016, 
armonizzando le prescrizioni già impartite alla luce 
dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizza- 
zioni siano provvisorie e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice, e, in particolare, effi- 
caci fino al 24 maggio 2018, tenuto conto che a decorrere 
dal 25 maggio 2018 sarà applicabile il regolamento (UE) 
2016/679, entrato in vigore il 24 maggio 2016, relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE; 


Visto il decreto legislativo 4 marzo 2010, n. 28, recan- 
te «Attuazione dell’art. 60 della legge 18 giugno 2009, 
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n. 69, aggiornato dalla legge 9 agosto 2013, n. 98, in 
materia di mediazione finalizzata alla conciliazione del- 
le controversie civili e commerciali» e il regolamento di 
cui al decreto ministeriale 18 ottobre 2010, n. 180, ema- 
nato ai sensi dell’art. 16 del citato decreto legislativo, i 
quali prevedono che gli organismi di mediazione, gli enti 
di formazione e il Ministero della giustizia trattino i dati 
giudiziari per l'accertamento dei requisiti di onorabilità 
dei mediatori nonché dei soci, associati, amministratori e 
rappresentanti dei predetti enti di natura privata e attribu- 
iscono al Ministero della giustizia l’esercizio di poteri di 
vigilanza e controllo in merito a tali requisiti; 


Visti gli articoli 51 e 52 del Codice in materia di infor- 
matica giuridica e ritenuta la necessità di favorire la pro- 
secuzione dell’attività di documentazione, studio e ricer- 
ca in campo giuridico, in particolare per quanto riguarda 
la diffusione di dati relativi a precedenti giurisprudenzia- 
li, in ragione anche dell’affinità che tali attività presenta- 
no con quelle di manifestazione del pensiero disciplinate 
dall’art. 137 del Codice; 


Considerata la necessità di garantire il rispetto di alcuni 
principi volti a ridurre al minimo i rischi di danno o di 
pericolo che i trattamenti potrebbero comportare per i di- 
ritti e le libertà fondamentali, nonché per la dignità delle 
persone, e in particolare, per il diritto alla protezione dei 
dati personali sancito dall’art. 1 del Codice; 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce 
che i dati trattati in violazione della disciplina rilevante 
in materia di trattamento di dati personali non possono 
essere utilizzati; 


Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all’ Allegato 8) al medesimo Codice, 
recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 


Visti gli articoli 42 e seguenti del Codice in materia di 
trasferimento di dati personali all’estero; 


Visto l’art. 167 del Codice; 
Visti gli atti d’ufficio; 
Viste le osservazioni dell’Ufficio formulate dal segre- 


tario generale ai sensi dell’art. 15 del regolamento del Ga- 
rante n. 1/2000; 


Relatore la dott.ssa Augusta lannini; 


Autorizza 


il trattamento dei dati giudiziari di cui all’art. 4, comma I, 
lettera e), del Codice, per le finalità di rilevante interesse 
pubblico di seguito specificate ai sensi degli articoli 21 e 
27 del Codice, secondo le prescrizioni di seguito indicate. 


Prima di iniziare o proseguire il trattamento, i sistemi 
informativi e i programmi informatici sono configurati ri- 
ducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


—- ‘93. È 
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CAPO I 


RAPPORTI DI LAVORO 


1) Ambito di applicazione e finalità del trattamento. 


L’autorizzazione è rilasciata, anche senza richiesta, a 
persone fisiche e giuridiche, enti, associazioni ed organi- 
smi che: 

a) sono parte di un rapporto di lavoro; 

b) utilizzano prestazioni lavorative anche atipiche, 
parziali o temporanee; 

c) conferiscono un incarico professionale a consulen- 
ti, liberi professionisti, agenti, rappresentanti e mandatari. 

Il trattamento deve essere indispensabile per: 

A. adempiere o esigere l’adempimento di specifici 
obblighi o eseguire specifici compiti previsti da leggi, 
dalla normativa dell’Unione europea, da regolamenti o 
da contratti collettivi, anche aziendali, e ai soli fini della 
gestione del rapporto di lavoro, anche autonomo o non 
retribuito od onorario; 

B. verificare, limitatamente ai dati strettamente ne- 
cessari, i requisiti di onorabilità dei dipendenti di società 
operanti nel settore del rating. 

L’autorizzazione è altresì rilasciata a soggetti che in 
relazione ad un’attività di composizione di controversie 
esercitata in conformità alla legge svolgono un trattamen- 
to indispensabile al medesimo fine. 


2) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare dati attinenti a soggetti 
che hanno assunto o intendono assumere la qualità di: 


a) lavoratori subordinati, anche se parti di un con- 
tratto di apprendistato, o di formazione e lavoro, o di in- 
serimento, o di lavoro ripartito, o di lavoro intermittente 
o a chiamata, ovvero prestatori di lavoro nell’ambito di 
un contratto di somministrazione, o in rapporto di tiro- 
cinio, ovvero di associati anche in compartecipazione o 
di titolari di borse di lavoro e di rapporti analoghi e, con 
riferimento a quanto previsto al punto 1), lettera 8), li- 
mitatamente ai soli lavoratori effettivamente impiegati in 
attività di rating; 

b) amministratori o membri di organi esecutivi o di 
controllo; 


c) consulenti e liberi professionisti, agenti, rappre- 
sentanti e mandatari. 


CAPO II 


ORGANISMI DI TIPO ASSOCIATIVO 
E FONDAZIONI 


1) Ambito di applicazione e finalità del trattamento. 


L’autorizzazione è rilasciata: 

a) ad associazioni anche non riconosciute, ivi com- 
presi partiti e movimenti politici, associazioni ed organiz- 
zazioni sindacali, patronati, associazioni a scopo assisten- 
ziale o di volontariato, a fondazioni, comitati e ad ogni 
altro ente, consorzio od organismo senza scopo di lucro, 
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dotati o meno di personalità giuridica, nonché a coope- 
rative sociali e società di mutuo soccorso di cui, rispetti- 
vamente, alle leggi 8 novembre 1991, n. 381 e 15 aprile 
1886, n. 3818; 


b) ad enti ed associazioni anche non riconosciute che 
curano il patrocinio, il recupero, l’istruzione, la forma- 
zione professionale, l’assistenza socio-sanitaria, la bene- 
ficenza e la tutela di diritti in favore dei soggetti cui si 
riferiscono 1 dati o dei relativi familiari e conviventi. 


Il trattamento deve essere indispensabile per persegui- 
re scopi determinati e legittimi individuati dall’atto costi- 
tutivo, dallo statuto o da un contratto collettivo. 


2) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare dati attinenti: 


a) ad associati, soci e aderenti, nonché, nei casi in 
cui l’utilizzazione dei dati sia prevista dall’atto costituti- 
vo 0 dallo statuto, a soggetti che presentano richiesta di 
ammissione o di adesione; 


b) a beneficiari, assistiti e fruitori delle attività o dei 
servizi prestati dall’associazione, dall’ente o dal diverso 
organismo. 


CAPO II 


LIBERI PROFESSIONISTI 


1) Ambito di applicazione e finalità del trattamento. 


L’autorizzazione è rilasciata anche senza richiesta ai: 


a) liberi professionisti tenuti ad iscriversi in albi o 
elenchi per l’esercizio di un’attività professionale, in for- 
ma individuale, associata o societaria, anche in conformi- 
tà al decreto legislativo 2 febbraio 2001, n. 96 e all’art. 10 
della legge 12 novembre 2011, n. 183; 


b) soggetti iscritti nei corrispondenti albi o elen- 
chi speciali, istituiti anche ai sensi dell’art. 34 del regio 
decreto-legge 27 novembre 1933, n. 1578 e successive 
modificazioni e integrazioni, recante l’ordinamento della 
professione di avvocato; 


c) sostituti e ausiliari che collaborano con il libero 
professionista ai sensi dell’art. 2232 del codice civile, 
praticanti e tirocinanti, qualora tali soggetti siano titolari 
di un autonomo trattamento o siano contitolari del tratta- 
mento effettuato dal libero professionista. 


2) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare dati attinenti ai clienti. 


I dati relativi a terzi possono essere trattati solo ove 
ciò sia strettamente indispensabile per eseguire specifiche 
prestazioni professionali richieste dai clienti per scopi de- 
terminati e legittimi. 
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MEDIAZIONE FINALIZZATA ALLA 
CONCILIAZIONE DELLE CONTROVERSIE CIVILI 
E COMMERCIALI 


1) Soggetti ai quali è rilasciata l'autorizzazione e finalità 
del trattamento. 


a) Per il perseguimento della finalità di rilevante inte- 
resse pubblico individuata dall’art. 69 del Codice (Ono- 
rificenze, ricompense e riconoscimenti) sono autorizzati, 
anche senza richiesta, a trattare i dati giudiziari di cui 
all’art. 4, comma 1, lettera e), del Codice per adempiere 
ad obblighi previsti da disposizioni di legge e regolamen- 
to in materia di mediazione finalizzata alla conciliazione 
delle controversie civili e commerciali: 


1. gli organismi di mediazione costituiti da enti 
privati di cui all’art. 1, comma I, lettera d), del decreto 
legislativo n. 28/2010 e successive modificazioni e inte- 
grazioni, con riferimento ai dati dei soci, associati, ammi- 
nistratori e rappresentanti, nonché dei mediatori iscritti; 


2. gli organismi di mediazione costituiti da enti pub- 
blici di cui all’art. 1, comma 1, lettera d), del decreto le- 
gislativo n. 28/2010 e successive modificazioni e integra- 
zioni, con riferimento ai dati dei mediatori iscritti; 


3. gli enti di formazione di cui all’art. 16, comma 5, 
del decreto legislativo n. 28/2010 e successive modifica- 
zioni e integrazioni, e art. 1, comma 1, lettera n) del de- 
creto ministeriale n. 180/2010 con riferimento ai dati dei 
soci, associati, amministratori e rappresentanti; 


b) Per il perseguimento delle finalità di rilevante in- 
teresse pubblico individuate dall’art. 69 del Codice 
(Onorificenze, ricompense e riconoscimenti), nonché 
dall’art. 67 del Codice (Attività di controllo e ispettive) 
il Ministero della giustizia è autorizzato a trattare i dati 
giudiziari di cui all’art. 4, comma 1, lettera e), del Codice 
ai sensi dell’art. 16 del decreto legislativo n. 28/2010 e 
successive modificazioni e integrazioni, nonché relative 
disposizioni attuative, per la gestione del registro degli 
organismi di mediazione e dell’elenco degli enti di for- 
mazione e per la verifica dei requisiti di onorabilità di cui 
al decreto ministeriale n. 180/2010 di soci, associati, am- 
ministratori e rappresentanti degli organismi di mediazio- 
ne e degli enti di formazione di natura privata, nonché dei 
singoli mediatori e formatori. 


2) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare i soli dati giudiziari re- 
lativi ai requisiti di onorabilità previsti dal decreto mini- 
steriale n. 180/2010 previsti per soci, associati, ammini- 
stratori e rappresentanti degli organismi di mediazione e 
degli enti di formazione di natura privata, nonché dei sin- 
goli mediatori e formatori («non avere riportato condanne 
definitive per delitti non colposi o a pena detentiva non 
sospesa; non essere incorso nell’interdizione perpetua o 
temporanea dai pubblici uffici; non essere stato sottopo- 
sto a misure di prevenzione o di sicurezza» - art. 4 decreto 
ministeriale n. 180/2010). 
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3) Categorie di dati e operazioni di trattamento. 


Il trattamento può riguardare i soli dati giudiziari e le 
sole operazioni che risultino indispensabili, pertinenti e 
non eccedenti in relazione alla specifica finalità persegui- 
ta, nei limiti stabiliti dalle norme di legge e regolamento. 


4) Comunicazione dei dati. 


Il Ministero della giustizia, nell’ambito dei poteri di 
vigilanza e controllo attribuitigli dalla normativa di setto- 
re può comunicare i dati giudiziari di cui all’art. 4, com- 
ma 1, lettera e) del Codice: 

agli organismi di mediazione e agli enti di formazio- 
ne di natura privata in relazione ai requisiti di onorabilità 
previsti dagli articoli 4, comma 2, lettera c) e 18, com- 
ma 2, lettera 5), del decreto ministeriale n. 180/2010 per 
i propri soci, associati, amministratori e rappresentanti; 


agli organismi di mediazione di natura pubblica 
e privata in relazione ai requisiti di onorabilità previsti 
dall’art. 4, comma 3, lettera c), del decreto ministeriale 
n. 180/2010 per i mediatori individuati nei propri elenchi. 


CAPO V 


IMPRESE BANCARIE ED ASSICURATIVE ED 
ALTRI TITOLARI DEI TRATTAMENTI 


1) Ambito di applicazione e finalità del trattamento. 


L’autorizzazione è rilasciata, anche senza richiesta: 


a) ad imprese autorizzate o che intendono essere au- 
torizzate all’esercizio dell’attività bancaria e creditizia, 
assicurativa o dei fondi pensione, anche se in stato di li- 
quidazione coatta amministrativa, ai fini: 


1) dell’accertamento, nei casi previsti dalle leggi e 
dai regolamenti, del requisito di onorabilità nei confronti 
di soci e titolari di cariche direttive o elettive; 


2) dell’accertamento, nei soli casi espressamente 
previsti dalla legge, di requisiti soggettivi e di presupposti 
interdittivi; 

3) dell’accertamento di responsabilità in relazione 
a sinistri o eventi attinenti alla vita umana; 


4) dell’accertamento di situazioni di concreto ri- 
schio per il corretto esercizio dell’attività assicurativa, in 
relazione ad illeciti direttamente connessi con la medesi- 
ma attività. Per questi ultimi casi, limitatamente ai trat- 
tamenti di dati registrati in una specifica banca di dati ai 
sensi dell’art. 4, comma 1, lettera p), del Codice, il titola- 
re deve inviare al Garante una dettagliata relazione sulle 
modalità del trattamento; 


b) a soggetti titolari di un trattamento di dati svol- 
to nell’ambito di un’attività di richiesta, acquisizione e 
consegna di atti e documenti presso i competenti uffici 
pubblici, effettuata su incarico degli interessati; 


c) alle società di intermediazione mobiliare, alle so- 
cietà di investimento a capitale variabile, alle società di 
gestione del risparmio e dei fondi pensione e alle società 
di gestione dei mercati regolamentati o alle società di ge- 
stione accentrata di strumenti finanziari ai fini dell’accer- 
tamento dei requisiti di onorabilità in applicazione della 
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normativa in materia di intermediazione finanziaria e di 
previdenza o di forme pensionistiche complementari, e di 
eventuali altre norme di legge o di regolamento; 


d) alle società operanti nel settore del rating, limi- 
tatamente alle informazioni strettamente indispensabili a 
verificare la sussistenza o meno dei requisiti di onorabili- 
tà in capo ai soli soci responsabili di incarichi di revisio- 
ne presso società italiane che abbiano emesso strumenti 
finanziari quotati su mercati finanziari non nazionali, in 
relazione ai comportamenti penalmente rilevanti indivi- 
duati dalla normativa nazionale e al fine di consentire la 
registrazione della società (e degli stessi soci) presso le 
organizzazioni governative responsabili della stabilità e 
trasparenza dei mercati finanziari di riferimento. 


2) Ulteriori trattamenti. 


L’autorizzazione è rilasciata altresì: 


a) a chiunque, per far valere o difendere un diritto 
anche da parte di un terzo in sede giudiziaria, nonché in 
sede amministrativa o nelle procedure di arbitrato, di me- 
diazione e di conciliazione nei casi previsti dalle leggi, 
dalla normativa dell’Unione europea, dai regolamenti o 
dai contratti collettivi, sempre che il diritto da far valere 
o difendere sia di rango pari a quello dell’interessato e i 
dati siano trattati esclusivamente per tale finalità e per il 
periodo strettamente necessario per il suo perseguimento; 


b) a chiunque, per l’esercizio del diritto di accesso 
ai dati e ai documenti amministrativi, nei limiti di quanto 
previsto dalle leggi e dai regolamenti in materia; 

c) a persone fisiche e giuridiche, istituti, enti ed orga- 
nismi che esercitano un’attività di investigazione privata 
autorizzata con licenza prefettizia (art. 134 del regio de- 
creto 18 giugno 1931, n. 773, e successive modificazioni 
e integrazioni). 

Il trattamento deve essere necessario: 


1. per permettere a chi conferisce uno specifico in- 
carico di far valere o difendere in sede giudiziaria un pro- 
prio diritto di rango pari a quello del soggetto al quale si 
riferiscono i dati, ovvero un diritto della personalità o un 
altro diritto fondamentale ed inviolabile; 


2. su incarico di un difensore in riferimento ad un 
procedimento penale, per ricercare e individuare elemen- 
ti a favore del relativo assistito da utilizzare ai soli fini 
dell’esercizio del diritto alla prova (art. 190 del codice di 
procedura penale e legge 7 dicembre 2000, n. 397) e nel 
rispetto delle regole di comportamento dettate dal «Codice 
di deontologia e di buona condotta per i trattamenti di dati 
personali effettuati per svolgere investigazioni difensive» 
(deliberazione del Garante n. 60 del 6 novembre 2008, 
Gazzetta Ufficiale 24 novembre 2008, n. 275) che costitu- 
iscono condizione essenziale per la liceità e la correttezza 
dei trattamenti di dati personali effettuati anche da avvo- 
cati, nell’ambito dello svolgimento del proprio incarico 
professionale ai sensi dell’art. 12, comma 3 del Codice; 


d) a chiunque, per adempiere ad obblighi previsti 
da disposizioni di legge in materia di comunicazioni e 
certificazioni antimafia o in materia di prevenzione della 
delinquenza di tipo mafioso e di altre gravi forme di ma- 
nifestazione di pericolosità sociale, contenute anche nella 
legge 19 marzo 1990, n. 55, e successive modificazioni ed 
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integrazioni, e nel decreto legislativo 6 settembre 2011, 
n. 159 recante il «Codice delle leggi antimafia e delle mi- 
sure di prevenzione, nonché nuove disposizioni in mate- 
ria di documentazione antimafia, a norma degli articoli 
1 e 2 della legge 13 agosto 2010, n. 136», e successive 
modificazioni ed integrazioni, o per poter produrre la do- 
cumentazione prescritta dalla legge per partecipare a gare 
d’appalto; 

e) a chiunque, ai fini dell’accertamento del requisito 
di idoneità morale di coloro che intendono partecipare a 
gare d’appalto, in adempimento di quanto previsto dalla 
normativa in materia di appalti; 

7) a chiunque per l’attuazione della disciplina in ma- 
teria di attribuzione del rating di legalità delle imprese ai 
sensi dell’art. 5-ter del decreto-legge 24 gennaio 2012, 
n. 1, convertito in legge, con modificazioni, dall’art. 1, 
comma 1, della legge 24 marzo 2012, n. 27. 


CAPO VI 
DOCUMENTAZIONE GIURIDICA 


1) Ambito di applicazione e finalità del trattamento. 


L’autorizzazione è rilasciata per il trattamento, ivi 
compresa la diffusione, di dati relativi a sentenze e altri 
provvedimenti giurisdizionali, per finalità di informazio- 
ne giuridica, ovvero di documentazione, di studio e di 
ricerca in campo giuridico. Il trattamento, disciplinato 
dagli articoli 51 e 52 del Codice, deve essere effettuato 
nel rispetto delle indicazioni fornite nelle «Linee guida in 
materia di trattamento di dati personali nella riproduzione 
di provvedimenti giurisdizionali per finalità di informa- 
zione giuridica» (deliberazione del Garante del 2 dicem- 
bre 2010, Gazzetta Ufficiale 4 gennaio 2011, n. 2). 


CAPO VII 


PRESCRIZIONI COMUNI A TUTTI I TRATTAMENTI 


Per quanto non previsto dai capi che precedono, ai 
trattamenti ivi indicati si applicano, altresì, le seguenti 
prescrizioni: 


1) Dati trattati. 


Possono essere trattati i soli dati essenziali per le finali- 
tà per le quali è ammesso il trattamento e che non possano 
essere adempiute, caso per caso, mediante il trattamento 
di dati anonimi o di dati personali di natura diversa. 


2) Modalità di trattamento. 


Il trattamento dei dati deve essere effettuato unicamen- 
te con operazioni, nonché con logiche e mediante forme 
di organizzazione dei dati strettamente indispensabili in 
rapporto agli obblighi, ai compiti o alle finalità preceden- 
temente indicati. Fuori dei casi previsti dai Capi V, punto 
2 e VI, o nei quali la notizia è acquisita da fonti accessibili 
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a chiunque, i dati devono essere forniti dagli interessati 
nel rispetto della disciplina prevista dal decreto del Presi- 
dente della Repubblica 14 novembre 2002, n. 313 e suc- 
cessive modificazioni. 


3) Conservazione dei dati. 


Con riferimento all’obbligo previsto dall’art. 11, com- 
ma 1, lettera e) del Codice, i dati possono essere conser- 
vati per il periodo di tempo previsto da leggi o regola- 
menti e, comunque, per un periodo non superiore a quello 
strettamente necessario per le finalità perseguite. 


Ai sensi dell’art. 11, comma 1, lettere c), d) ed e) del 
Codice, i soggetti autorizzati verificano periodicamente 
l’esattezza e l’aggiornamento dei dati, nonché la loro per- 
tinenza, completezza, non eccedenza e necessità rispetto 
alle finalità perseguite nei singoli casi. AI fine di assicu- 
rare che i dati siano strettamente pertinenti, non eccedenti 
e indispensabili rispetto alle finalità medesime, i soggetti 
autorizzati valutano specificamente il rapporto tra i dati e 
i singoli obblighi, compiti e prestazioni. I dati che, anche 
a seguito delle verifiche, risultino eccedenti o non perti- 
nenti o non indispensabili non possono essere utilizzati, 
salvo che per l’eventuale conservazione, a norma di leg- 
ge, dell’atto o del documento che li contiene. Specifica 
attenzione è prestata per la verifica dell’essenzialità dei 
dati riferiti a soggetti diversi da quelli cui si riferiscono 
direttamente gli obblighi, i compiti e le prestazioni. 


4) Comunicazione e diffusione. 


I dati possono essere comunicati e, ove previsto dal- 
la legge, diffusi, a soggetti pubblici o privati nei limiti 
strettamente indispensabili per le finalità perseguite e nel 
rispetto, in ogni caso, del segreto professionale e delle 
altre prescrizioni sopraindicate. 


5) Richieste di autorizzazione. 


I titolari dei trattamenti che rientrano nell’ambito di ap- 
plicazione della presente autorizzazione non sono tenuti 
a presentare una richiesta di autorizzazione al Garante, 
qualora il trattamento che si intende effettuare sia confor- 
me alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perver- 
ranno anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante si riserva l’adozione di ogni altro provve- 
dimento per i trattamenti non considerati nella presente 
autorizzazione. 


Per quanto riguarda invece i trattamenti disciplinati 
nel presente provvedimento, il Garante non prenderà in 
considerazione richieste di autorizzazione per trattamenti 
da effettuarsi in difformità alle relative prescrizioni, sal- 
vo che, ai sensi dell’art. 41 del Codice, il loro accogli- 
mento sia giustificato da circostanze del tutto particolari 
o da situazioni eccezionali non considerate nella presente 
autorizzazione. 
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6) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge 
o di regolamento o dalla normativa dell’Unione europea 
che stabiliscono divieti o limiti più restrittivi in materia di 
trattamento di dati personali e, in particolare, dalle dispo- 
sizioni contenute nell’art. 8 della legge 20 maggio 1970, 
n. 300, fatto salvo dall’art. 113 del Codice, che vieta al 
datore di lavoro ai fini dell’assunzione e nello svolgimen- 
to del rapporto di lavoro, di effettuare indagini, anche a 
mezzo di terzi, sulle opinioni politiche, religiose o sin- 
dacali del lavoratore, nonché su fatti non rilevanti ai fini 
della valutazione dell’attitudine professionale del lavo- 
ratore e dall’art. 10 del decreto legislativo 10 settembre 
2003, n. 276, che vieta alle agenzie per il lavoro e agli 
altri soggetti privati autorizzati o accreditati di effettuare 
determinate indagini o comunque trattamenti di dati ov- 
vero di preselezione di lavoratori. 


Restano fermi, altresì, gli obblighi di legge che vietano 
la rivelazione senza giusta causa e l’impiego a proprio 0 
altrui profitto delle notizie coperte dal segreto professio- 
nale, nonché gli obblighi deontologici o di buona condot- 
ta relativi alle singole figure professionali. 


7) Efficacia temporale. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
regolamento. 


La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 


Il presidente 
SoRo 


Il relatore 
IANNINI 


Il segretario generale 
Busia 
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AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione generale al trattamento dei dati genetici. 
(Autorizzazione n. 8/2016). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


In data odierna, con la partecipazione del dott. Anto- 
nello Soro, presidente, della dott.ssa Augusta Iannini, 
vice presidente, della dott.ssa Giovanna Bianchi Clerici 
e della prof.ssa Licia Califano, componenti, e del dott. 
Giuseppe Busia, segretario generale; 


Visto il decreto legislativo 30 giugno 2003 n. 196, re- 
cante il Codice in materia di protezione dei dati personali 
(di seguito «Codice»); 


Visto, in particolare, l’art. 90, comma 1, del citato 
Codice, secondo cui il trattamento dei dati genetici da 
chiunque effettuato è consentito nei soli casi previsti da 
apposita autorizzazione rilasciata dal Garante sentito il 
Ministro della salute che acquisisce, a tal fine, il parere 
del Consiglio superiore di sanità; 


Visto, altresì, l’art. 90, comma 2, del Codice, in base 
al quale l’autorizzazione individua anche gli ulteriori ele- 
menti da includere nell’informativa ai sensi dell’art. 13, 
con particolare riguardo alla specificazione delle finalità 
perseguite e dei risultati conseguibili anche in relazione 
alle notizie inattese che possono essere conosciute per 
effetto del trattamento dei dati e al diritto di opporsi al 
medesimo trattamento per motivi legittimi; 


Vista l’autorizzazione generale del Garante n. 2/2005 
che richiama espressamente (punto 1.4) l’autorizzazione 
n. 2/2002 (punto 2, lettera b)), relativa al trattamento dei 
dati idonei a rivelare lo stato di salute e la vita sessuale, 
secondo la quale i dati genetici trattati per fini di preven- 
zione, di diagnosi o di terapia nei confronti dell’interessa- 
to, ovvero per finalità di ricerca scientifica, «possono es- 
sere utilizzati unicamente per tali finalità o per consentire 
all’interessato di prendere una decisione libera e informa- 
ta, ovvero per finalità probatorie in sede civile o penale, 
in conformità alla legge»; 


Vista l’autorizzazione al trattamento dei dati geneti- 
ci del 22 febbraio 2007 rilasciata dal Garante, ai sensi 
dell’art. 90 del Codice, in sostituzione delle prescrizio- 
ni già impartite in materia di dati genetici con la citata 
autorizzazione generale richiamata dall’autorizzazione 
n. 2/2005, dopo aver sentito il Ministro della salute, che 
ha acquisito il parere del Consiglio superiore di sanità; 


Considerata la necessità di assicurare, nella disciplina 
del trattamento dei dati personali, un elevato livello di tu- 
tela per i diritti e le libertà fondamentali, nonché per la 
dignità delle persone e, in particolare, per il diritto alla 
protezione dei dati personali sancito all’art. 1 del Codice; 
ciò, anche riducendo al minimo i rischi di danno o di peri- 
colo valutati sulla base delle raccomandazioni adottate in 
materia di dati sanitari dal Consiglio d’Europa e, in par- 
ticolare, dalla Raccomandazione n. R(97) 5; rilevato che 
in base a quest’ultima sono considerati dati genetici tutti 
i dati, di qualunque tipo, che riguardano i caratteri eredi- 
tari di un individuo o che sono in rapporto con i caratteri 
che formano il patrimonio di un gruppo di individui affini 
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(par. 1), dati che, nel quadro della più ampia categoria dei 
«dati sanitari», possano essere trattati solo a determinate 
condizioni (par. 1); 


Rilevato che la Raccomandazione del Consiglio d’Eu- 
ropa n. R(92) 3 sui test e gli screening genetici a fini di 
cura afferma (principio n. 8) che la raccolta e la conser- 
vazione di sostanze e di campioni biologici, così come il 
trattamento dei dati che ne derivano, devono essere effet- 
tuati in conformità ai principi fondamentali di protezione 
e di sicurezza dei dati stabiliti dalla Convenzione per la 
protezione degli individui con riguardo al trattamento au- 
tomatizzato dei dati personali n. 108 del 28 gennaio 1981, 
nonché dalle pertinenti raccomandazioni del Comitato 
dei ministri in materia; 

Rilevato che, riguardo al trattamento dei dati genetici, 
sono desumibili altri importanti princìpi da alcune fonti 
internazionali e dell’Unione europea tra le quali figurano: 


a) la Convenzione sui diritti dell’uomo e sulla bio- 
medicina, fatta a Oviedo il 4 aprile 1997, che vieta qual- 
siasi forma di discriminazione nei confronti di una per- 
sona in ragione del suo patrimonio genetico (art. 11) e 
limita l’espletamento di test genetici predittivi ai soli fini 
medici o di ricerca medica e sulla base di una consulenza 
genetica appropriata (art. 12); 


b) la Dichiarazione universale sul genoma umano e 
i diritti umani dell’Unesco dell’11 novembre 1997, che 
sancisce il diritto della persona al rispetto della dignità e 
dei propri diritti indipendentemente dalle sue caratteristi- 
che genetiche (art. 2) e vieta ogni discriminazione basata 
sulle caratteristiche genetiche che abbia per fine o sortisca 
l’effetto di violare i diritti umani, le libertà fondamentali e 
la dignità umana (art. 6); 


c) la Carta dei diritti fondamentali dell’Unione eu- 
ropea, proclamata a Nizza il 7 dicembre 2000, che vieta 
qualsiasi forma di discriminazione fondata, in particolare, 
sulle caratteristiche genetiche (art. 21); 


d) la direttiva 2004/23/Ce del Parlamento europeo e 
del Consiglio del 31 marzo 2004 e la relativa disciplina 
nazionale di recepimento (decreto legislativo 6 novembre 
2007, n. 191), che prescrivono l’adozione di misure ne- 
cessarie di protezione dei dati, compresi quelli genetici, 
e di altre misure di salvaguardia relativamente ad infor- 
mazioni raccolte nell’ambito di attività di donazione, ap- 
provvigionamento, controllo, lavorazione, conservazio- 
ne, stoccaggio e distribuzione di tessuti e cellule umani 
destinati ad applicazioni sull’uomo, nonché di prodotti 
fabbricati derivati da tessuti e cellule umani destinati ad 
applicazioni sull’uomo (art. 14); 


e) la Convenzione sui diritti dell’uomo e sulla bio- 
medicina (art. 10) e il suo Protocollo addizionale relati- 
vo ali test genetici per fini medici del 27 novembre 2008 
(art. 16), nonché la Dichiarazione universale sul genoma 
umano e i diritti umani (art. 5, lettera c)) e la Dichiara- 
zione internazionale sui dati genetici umani dell’ Unesco 
del 16 ottobre 2003 (art. 10), le quali riconoscono, con 
diverso ambito, il diritto di ogni individuo di essere o non 
essere informato dei risultati degli esami genetici e delle 
loro conseguenze (ovvero dei risultati della ricerca medi- 
ca e scientifica laddove i dati genetici, i dati proteomici 
dell’individuo o i campioni biologici siano utilizzati per 
tali scopi); 
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/) il Codice di condotta dell’Organizzazione interna- 
zionale del lavoro sulla protezione dei dati personali dei 
lavoratori (novembre 1996), in base al quale lo svolgi- 
mento di screening genetici sui lavoratori dovrebbe esse- 
re vietato o limitato a casi specifici autorizzati espressa- 
mente dalla legge (art. 6.12); 


g) la Dichiarazione di Helsinki dell’ Associazione 
medica mondiale (giugno 1964 e successive modifiche e 
integrazioni), in base alla quale occorre acquisire l’assen- 
so della persona legalmente incapace, in aggiunta a quello 
del legale rappresentante, laddove la stessa sia in grado di 
esprimere il proprio assenso a partecipare ad una ricerca 
(par. 29); 


h) il documento di lavoro sui dati genetici adottato 
il 17 marzo 2004 (Wp 91) dal Gruppo per la tutela del- 
le persone con riguardo al trattamento dei dati personali, 
istituito dall’art. 29 direttiva n. 95/46/Ce che, nell’indi- 
viduare le necessarie garanzie in materia di dati genetici, 
afferma la necessità di prendere in considerazione e di 
disciplinare anche lo statuto giuridico dei campioni bio- 
logici, suscettibili anch’essi di costituire una fonte di dati 
personali; 


i) la Dichiarazione universale sul genoma umano e i 
diritti umani dell’Unesco dell’11 novembre 1997 (art. 5, 
lettera e)), il Protocollo addizionale alla Convenzione sui 
diritti dell’uomo e sulla biomedicina relativo alla ricerca 
biomedica del 25 gennaio 2005 (art. 15) e la Dichiarazio- 
ne universale sulla bioetica e i diritti umani dell’ Unesco 
del 19 ottobre 2005 (art. 7) che fissano particolari cautele 
per le ricerche genetiche che coinvolgono persone inca- 
paci di fornire il proprio consenso; 


1) la Dichiarazione internazionale sui dati genetici 
umani dell’Unesco (art. 18) e la Raccomandazione del 
Consiglio d’Europa n. R(2016) 6 sulla ricerca su mate- 
riale biologico di origine umana (art. 19) che evidenziano 
l’esigenza di regolare il trasferimento all’estero del ma- 
teriale biologico e dei relativi dati personali garantendo 
che i paesi di destinazione assicurino una protezione 
adeguata; 


Visti il regolamento dell’Unione europea 16 aprile 
2014, n. 536, il decreto legislativo 24 giugno 2003, n. 211 
e successive modifiche e integrazioni, il decreto legisla- 
tivo 6 novembre 2007, n. 200, nonché i decreti ministe- 
riali in materia di sperimentazioni cliniche di medicinali 
e, in particolare, il decreto ministeriale 21 dicembre 2007 
recante «Modalità di inoltro della richiesta di autorizza- 
zione all’ Autorità competente, per la comunicazione di 
emendamenti sostanziali e la dichiarazione di conclusio- 
ne della sperimentazione clinica e per la richiesta di pare- 
re al comitato etico»; 


Vista la legge 19 febbraio 2004, n. 40, recante «Norme 
in materia di procreazione medicalmente assistita»; 


Visto, altresì, l’ Accordo del 15 luglio 2004 tra il Mi- 
nistro della salute, le regioni e le province autonome di 
Trento e Bolzano sul documento recante le «Linee-guida 
per le attività di genetica medica» (in Gazzetta Ufficiale 
23 settembre 2004, n. 224); 


Vista la legge 6 marzo 2001, n. 52 recante «Ricono- 
scimento del Registro nazionale italiano dei donatori di 
midollo osseo»; 
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Vista la legge 21 ottobre 2005, n. 219, che disciplina 
le attività trasfusionali e la produzione nazionale degli 
emoderivati, l’ordinanza del Ministro della salute del 
26 febbraio 2009 recante «Disposizioni in materia di 
conservazione di cellule staminali da sangue del cordone 
ombelicale» (in Gazzetta Ufficiale 10 marzo 2009, n. 57), 
il decreto ministeriale 18 novembre 2009 recante «Dispo- 
sizioni in materia di conservazione di cellule staminali da 
sangue del cordone ombelicale per uso autologo - dedica- 
to», il decreto ministeriale 10 ottobre 2012 recante «Mo- 
dalità per l'esportazione o l’importazione di tessuti, cel- 
lule e cellule riproduttive umani destinati ad applicazioni 
sull’uomo», nonché il decreto ministeriale 2 novembre 
2015 recante «Disposizioni relative ai requisiti di qualità 
e sicurezza del sangue e degli emocomponenti»; 


Visto il decreto legislativo 25 gennaio 2010, n. 16 di 
recepimento della disciplina dell’Unione europea attua- 
tiva della direttiva 2004/23/CE per quanto riguarda le 
prescrizioni tecniche per la donazione, l’approvvigiona- 
mento e il controllo di tessuti e cellule umani, nonché per 
quanto riguarda le prescrizioni in tema di rintracciabilità, 
la notifica di reazioni ed eventi avversi gravi e determina- 
te prescrizioni tecniche per la codifica, la lavorazione, la 
conservazione, lo stoccaggio e la distribuzione di tessuti 
e cellule umani; 


Visto il decreto legislativo 20 dicembre 2007, n. 261 
recante revisione del decreto legislativo 19 agosto 2005, 
n. 191 di attuazione della direttiva 2002/98/CE che stabi- 
lisce norme di qualità e di sicurezza per la raccolta, il con- 
trollo, la lavorazione, la conservazione e la distribuzione 
del sangue umano e dei suoi componenti; 


Visto il decreto legislativo 4 marzo 2010, n. 28 e suc- 
cessive modifiche e integrazioni di attuazione dell’art. 60 
della legge 18 giugno 2009, n. 69 in materia di mediazio- 
ne finalizzata alla conciliazione delle controversie civili e 
commerciali e il decreto ministeriale del 18 ottobre 2010, 
n. 180 e successive modifiche e integrazioni emanato ai 
sensi dell’art. 16 del predetto decreto legislativo; 


Considerato che il procedimento di mediazione può 
comportare il trattamento di dati genetici riferiti alle parti 
della mediazione e ad altri soggetti eventualmente coin- 
volti nel procedimento medesimo, in conformità alla leg- 
ge (si pensi, ad esempio, ai procedimenti inerenti il risar- 
cimento del danno da responsabilità medica e sanitaria); 

Ritenuto pertanto necessario autorizzare al trattamento 
di dati genetici gli organismi di cui all’art. 1, comma 1, 
del decreto legislativo n. 28/2010 ove ciò sia strettamente 
indispensabile per l’espletamento delle attività inerenti 
all’esercizio della mediazione finalizzata alla conciliazio- 
ne delle controversie civili e commerciali in conformità 
alla legge e secondo le prescrizioni già indicate, per gli 
organismi privati, nell’autorizzazione generale n. 5 al 
trattamento dei dati sensibili da parte di diverse categorie 
di titolari e, per gli organismi pubblici, nel provvedimen- 
to del Garante del 21 aprile 2011 che individua 1 tipi di 
dati e di operazioni eseguibili in relazione alla finalità di 
rilevante interesse pubblico di cui all’art. 71, comma 1, 
lettera 5) del Codice; 

Considerato che, ai sensi degli articoli 76 e 81 del Co- 
dice, gli esercenti le professioni sanitarie e gli organismi 
sanitari pubblici possono trattare i dati personali idonei a 
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rivelare lo stato di salute per finalità di tutela della salute 
o dell’incolumità fisica dell’interessato solo con il con- 
senso di quest’ultimo, oppure (quando occorre tutelare la 
salute o l’incolumità fisica di un terzo o della collettività) 
anche senza il consenso dell’interessato, ma previa auto- 
rizzazione del Garante; 


Considerato che gli articoli 77, 78 e 79 del Codice 
prevedono modalità semplificate per l’informativa di cui 
all’art. 13 del medesimo Codice da parte degli esercenti la 
professione sanitaria e degli organismi sanitari pubblici; 


Visto il provvedimento del Garante del 19 luglio 2006 
(in www.garanteprivacy.it, doc. web n. 1318699), con il 
quale, ai sensi degli articoli 78, comma 3, e 13, comma 3, 
del Codice, sono stati indicati gli elementi essenziali che 
il medico di medicina generale e il pediatra di libera scel- 
ta devono includere nell’informativa da fornire all’inte- 
ressato relativamente al trattamento dei dati personali; 


Viste le «Linee guida per il trattamento di dati persona- 
li nell’ambito di sperimentazioni cliniche di medicinali» 
adottate dal Garante con deliberazione n. 52 del 24 luglio 
2008; 


Considerato che, ai sensi degli articoli 23 e 26 del Co- 
dice, i privati e gli enti pubblici economici possono trat- 
tare i dati sensibili solo previa autorizzazione del Garante 
e, ove richiesto, con il consenso scritto dell’interessato; 


Considerato che un elevato numero di trattamenti di 
dati genetici è effettuato per finalità di prevenzione, di 
diagnosi o di terapia nei confronti dell’interessato e per 
finalità di ricerca scientifica; 


Considerato che l’art. 40 del Codice prevede il rilascio 
di autorizzazioni di carattere generale relative a determi- 
nate categorie di titolari o di trattamenti e che tali auto- 
rizzazioni sinora rilasciate sono risultate un idoneo stru- 
mento per prescrivere misure uniformi a garanzia degli 
interessati; 


Considerata la specifica autorizzazione prevista 
dall’art. 90 del Codice, rilasciata dal Garante il 22 febbra- 
io 2007, la cui efficacia è stata prorogata da ultimo fino al 
30 giugno 2011; 

Considerata la nuova autorizzazione rilasciata il 
24 giugno 2011, in conformità all’art. 90 del Codice, in 
sostituzione di quella in scadenza il 30 giugno 2011, al 
fine di armonizzare le prescrizioni già impartite alla luce 
dell’esperienza maturata e delle osservazioni formulate 
da parte di qualificati esperti della materia riguardanti in 
particolare: l’aggiornamento delle definizioni utilizzate, i 
trattamenti effettuati per la tutela della salute di familiari 
in assenza del consenso dell’interessato, le ricerche scien- 
tifiche che coinvolgono minori o altri soggetti vulnerabili 
senza comportare per loro alcun beneficio diretto, nonché 
la comunicazione ai familiari di dati genetici indispen- 
sabili per evitare un grave pregiudizio per la loro salute; 


Considerato che tale nuova autorizzazione, rinnovata 
dal Garante negli anni successivi, è risultata uno strumen- 
to idoneo per prescrivere misure uniformi a garanzia de- 
gli interessati, rendendo altresì superflua la richiesta di 
singoli provvedimenti di autorizzazione da parte di nume- 
rosi titolari del trattamento; 


Ritenuto opportuno pertanto rilasciare una nuova au- 
torizzazione analoga alla precedente e in sostituzione 


29-12-2016 


dell’autorizzazione n. 8/2014 in scadenza il 31 dicembre 
2016; 


Ritenuto opportuno che anche tali nuove autorizza- 
zioni siano provvisorie e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice, e, in particolare effica- 
ci fino al 24 maggio 2018, tenuto conto che a decorrere 
dal 25 maggio 2018 sarà applicabile il regolamento (UE) 
2016/679, entrato in vigore il 24 maggio 2016, relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE; 


Ritenuto opportuno prendere in considerazione con 
separato provvedimento il trattamento dei dati genetici 
effettuato da parte delle categorie di soggetti pubblici ri- 
compresi nei titoli I, II, e III della parte II del Codice, fat- 
to salvo quanto previsto dall’art. 16 della legge 30 giugno 
2009, n. 85 e dai relativi provvedimenti attuativi per la 
disciplina della banca dati nazionale del Dna per finalità 
di accertamento e repressione dei reati; 


Ritenuto, all’esito dell’esperienza applicativa emersa 
in recenti casi di contenzioso, che le espressioni conte- 
nute nella presente autorizzazione e inerenti all’esercizio 
di un diritto in sede giudiziaria (punto «2) Ambito di ap- 
plicazione» e punto «3) Finalità del trattamento») devono 
intendersi riferite al difensore, ai suoi collaboratori, alle 
parti e a ogni altro soggetto che effettui il trattamento per 
far valere o difendere un diritto in sede giudiziaria; 


Considerato che, fuori dei casi appena indicati, ulterio- 
ri trattamenti di dati genetici non ricompresi nella presen- 
te autorizzazione non risultano allo stato leciti, anche in 
riferimento all’attività dei datori di lavoro volta a deter- 
minare l’attitudine professionale di lavoratori o di candi- 
dati all’instaurazione di un rapporto di lavoro, anche se 
basata sul consenso dell’interessato, nonché all’attività 
delle imprese di assicurazione; 

Ritenuto opportuno che anche la presente autorizzazio- 
ne sia a tempo determinato e riservata ogni determinazio- 
ne in ordine alla sua integrazione o modifica anche in re- 
lazione al rapido sviluppo della ricerca e delle tecnologie 
applicate alla genetica e all’evolversi delle conoscenze 
nel settore; 

Visto, altresì, l’art. 11, comma 2, del Codice, il quale 
stabilisce che i dati trattati in violazione della disciplina 
rilevante in materia di trattamento di dati personali non 
possono essere utilizzati; 


Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all’ Allegato B al medesimo Codice, 
recanti disposizioni e regole sulle misure di sicurezza; 


Visti gli articoli 41 e 167 del Codice; 
Visti gli altri atti d’ufficio; 
Viste le osservazioni dell’Ufficio formulate dal segre- 


tario generale ai sensi dell’art. 15 del regolamento del Ga- 
rante n. 1/2000; 


Relatore la prof.ssa Licia Califano; 


Autorizza 


ai sensi degli articoli 26, 40, 41 e 90 del Codice il tratta- 
mento dei dati genetici da parte dei soggetti sottoindivi- 
duati, secondo le prescrizioni di seguito indicate. 
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Prima di iniziare o proseguire il trattamento i sistemi 
informativi e i programmi informatici sono configurati 
riducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


1) Definizioni. 


Ai fini della presente autorizzazione si intende per: 


a) dato genetico, il risultato di test genetici o ogni al- 
tra informazione che, indipendentemente dalla tipologia, 
identifica le caratteristiche genotipiche di un individuo 
trasmissibili nell’ambito di un gruppo di persone legate 
da vincoli di parentela; 


b) campione biologico, ogni campione di materiale 
biologico da cui possono essere estratti dati genetici ca- 
ratteristici di un individuo; 


c) test genetico, l’analisi a scopo clinico di uno spe- 
cifico gene o del suo prodotto o funzione o di altre parti 
del Dna o di un cromosoma, volta a effettuare una dia- 
gnosi o a confermare un sospetto clinico in un individuo 
affetto (test diagnostico), oppure a individuare o esclude- 
re la presenza di una mutazione associata ad una malattia 
genetica che possa svilupparsi in un individuo non affetto 
(test presintomatico) o, ancora, a valutare la maggiore o 
minore suscettibilità di un individuo a sviluppare malattie 
multifattoriali (test predittivo o di suscettibilità); 


d) test farmacogenetico, il test genetico finalizzato 
all’identificazione di specifiche variazioni nella sequen- 
za del Dna in grado di predire la risposta «individuale» 
a farmaci in termini di efficacia e di rischio relativo di 
eventi avversi; 


e) test farmacogenomico, il test genetico finalizza- 
to allo studio globale delle variazioni del genoma o dei 
suoi prodotti correlate alla scoperta di nuovi farmaci e 
all’ulteriore caratterizzazione dei farmaci autorizzati al 
commercio; 


)) test sulla variabilità individuale, i test genetici che 
comprendono: il test di parentela volto alla definizione 
dei rapporti di parentela; il test ancestrale volto a stabilire 
i rapporti di una persona nei confronti di un antenato o di 
una determinata popolazione o quanto del suo genoma 
sia stato ereditato dagli antenati appartenenti a una par- 
ticolare area geografica o gruppo etnico; il test di identi- 
ficazione genetica volto a determinare la probabilità con 
la quale un campione o una traccia di DNA recuperato da 
un oggetto o altro materiale appartenga a una determinata 
persona; 


g) screening genetico, il test genetico effettuato su 
popolazioni o su gruppi definiti, comprese le analisi fami- 
liari finalizzate a identificare - mediante «screening a ca- 
scata» - le persone potenzialmente a rischio di sviluppare 
la malattia genetica, al fine di delinearne le caratteristiche 
genetiche comuni o di identificare precocemente soggetti 
affetti o portatori di patologie genetiche o di altre caratte- 
ristiche ereditarie; 
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h) consulenza genetica, le attività di comunicazio- 
ne volte ad aiutare l’individuo o la famiglia colpita da 
patologia genetica a comprendere le informazioni medi- 
che che includono la diagnosi e il probabile decorso della 
malattia, le forme di assistenza disponibili, il contributo 
dell’ereditarietà al verificarsi della malattia, il rischio di 
ricorrenza esistente per sé e per altri familiari e l’opportu- 
nità di portarne a conoscenza questi ultimi, nonché tutte 
le opzioni esistenti nell’affrontare il rischio di malattia e 
l’impatto che tale rischio può avere su scelte procreative; 
nell’esecuzione di test genetici tale consulenza compren- 
de inoltre informazioni sul significato, i limiti, l’attendi- 
bilità e la specificità del test nonché le implicazioni dei 
risultati; a tale processo partecipano, oltre al medico e/o 
al biologo specialisti in genetica medica, altre figure pro- 
fessionali competenti nella gestione delle problematiche 
psicologiche e sociali connesse alla genetica; 


i) informazione genetica, le attività volte a fornire 
informazioni riguardanti le specifiche caratteristiche de- 
gli screening genetici. 


2) Ambito di applicazione. 


La presente autorizzazione è rilasciata: 


a) agli esercenti le professioni sanitarie, in partico- 
lare ai genetisti medici, limitatamente ai dati e alle ope- 
razioni indispensabili per esclusive finalità di tutela della 
salute dell’interessato o di un terzo appartenente alla stes- 
sa linea genetica dell’interessato; 


b) agli organismi sanitari pubblici e privati, in parti- 
colare alle strutture cliniche di genetica medica, limitata- 
mente ai dati e alle operazioni indispensabili per esclusive 
finalità di tutela della salute dell’interessato o di un terzo 
appartenente alla stessa linea genetica dell’interessato; 


c) a laboratori di genetica medica, limitatamente alle 
operazioni indispensabili rispetto a dati, parimenti indi- 
spensabili, destinati ad essere trattati per esclusive fina- 
lità di prevenzione e di diagnosi genetica nei confronti 
dell’interessato, o destinati ad essere utilizzati ad esclu- 
sivi fini di svolgimento delle indagini difensive o per far 
valere o difendere un diritto anche da parte di un terzo in 
sede giudiziaria o, ad esclusivi fini di ricongiungimento 
familiare, per l’accertamento della sussistenza di vinco- 
li di consanguineità di cittadini di Stati non appartenenti 
all’Unione europea, apolidi e rifugiati; 


d) alle persone fisiche o giuridiche, agli enti o agli 
istituti di ricerca, alle associazioni e agli altri organismi 
pubblici e privati aventi finalità di ricerca, limitatamente 
ai dati e alle operazioni indispensabili per esclusivi sco- 
pi di ricerca scientifica, anche statistica, finalizzata alla 
tutela della salute dell’interessato, di terzi o della collet- 
tività in campo medico, biomedico ed epidemiologico, 
nell’ambito delle attività di pertinenza della genetica me- 
dica, nonché per scopi di ricerca scientifica volti a svilup- 
pare le tecniche di analisi genetica; 


e) agli psicologi, ai consulenti tecnici e ai loro assi- 
stenti, nell’ambito di interventi pluridisciplinari di con- 
sulenza genetica, limitatamente ai dati e alle operazioni 
indispensabili per esclusive finalità di consulenza nei 
confronti dell’interessato o dei suoi familiari; 
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/) ai farmacisti, limitatamente ai dati e alle opera- 
zioni indispensabili per esclusive finalità di adempimento 
agli obblighi derivanti da un rapporto di fornitura di far- 
marci all’interessato; 


g) ai difensori, anche a mezzo di sostituti, consulenti 
tecnici e investigatori privati autorizzati, limitatamente 
alle operazioni e ai dati indispensabili per esclusive fina- 
lità di svolgimento di investigazioni difensive di cui alla 
legge 7 dicembre 2000 n. 397; è altresì rilasciata per far 
valere o difendere un diritto - anche da parte di un terzo 
- in sede giudiziaria, sempre che il diritto sia di rango 
almeno pari a quello dell’interessato e i dati siano tratta- 
ti esclusivamente per tali finalità e per il periodo stretta- 
mente necessario al loro perseguimento; 

h) agli organismi di mediazione pubblici e privati 
limitatamente alle operazioni e ai dati indispensabili per 
esclusive finalità di espletamento delle attività inerenti 
all’esercizio della mediazione finalizzata alla conciliazio- 
ne delle controversie civili e commerciali ai sensi del de- 
creto legislativo 4 marzo 2010, n. 28 e successive modifi- 
che e integrazioni, in conformità alla legge e nel rispetto, 
per gli organismi privati, delle prescrizioni dell’autoriz- 
zazione generale n. 5 al trattamento dei dati sensibili da 
parte di diverse categorie di titolari e, per gli organismi 
pubblici, del provvedimento del Garante del 21 aprile 
2011 che individua 1 tipi di dati e di operazioni eseguibili 
in relazione alla finalità di rilevante interesse pubblico di 
cui all’art. 71, comma 1, lettera 5) del Codice; 


i) agli organismi internazionali ritenuti idonei dal 
Ministero degli affari esteri e alle rappresentanze diplo- 
matiche o consolari per il rilascio delle certificazioni (allo 
stato disciplinate dall’art. 52 decreto legislativo 3 feb- 
braio 2011, n. 71) ad esclusivi fini di ricongiungimento 
familiare e limitatamente ai casi in cui l’interessato non 
possa documentare in modo certo i suoi vincoli di con- 
sanguineità mediante certificati o attestazioni rilasciati 
da competenti autorità straniere, in ragione della man- 
canza di un’autorità riconosciuta o comunque quando 
sussistano fondati dubbi sulla autenticità della predetta 
documentazione. 


3) Finalità del trattamento. 


3.1 Possono essere trattati dati genetici e utilizzati 
campioni biologici inerenti alle seguenti finalità che non 
possano essere adempiute, caso per caso, mediante il trat- 
tamento di dati o campioni anonimi o di dati personali 
non genetici: 

a) tutela della salute, con particolare riferimento alle 
patologie di natura genetica e alla tutela dell’identità ge- 
netica dell’interessato, con il suo consenso, salvo quanto 
previsto dagli articoli 26 e 82 del Codice in riferimento 
al caso in cui l’interessato non possa prestare il proprio 
consenso per incapacità d’agire, impossibilità fisica o in- 
capacità di intendere o di volere; 

b) tutela della salute, con particolare riferimento alle 
patologie di natura genetica e tutela dell’identità genetica 
di un terzo appartenente alla stessa linea genetica dell’in- 
teressato con il consenso di quest’ultimo; nel caso in cui 
il consenso dell’interessato non sia prestato o non possa 
essere prestato per impossibilità fisica, per incapacità di 
agire o per incapacità d’intendere o di volere, nonché per 
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effettiva irreperibilità, il trattamento può essere effettuato 
limitatamente a dati genetici disponibili qualora sia indi- 
spensabile per consentire al terzo di compiere una scelta 
riproduttiva consapevole o sia giustificato dalla necessità, 
per il terzo, di interventi di natura preventiva o terapeu- 
tica. Nel caso in cui l’interessato sia deceduto, il tratta- 
mento può comprendere anche dati genetici estrapolati 
dall’analisi dei campioni biologici della persona decedu- 
ta, sempre che sia indispensabile per consentire al terzo 
di compiere una scelta riproduttiva consapevole o sia giu- 
stificato dalla necessità, per il terzo, di interventi di natura 
preventiva o terapeutica; 


c) ricerca scientifica e statistica, finalizzata alla tute- 
la della salute dell’interessato, di terzi o della collettività 
in campo medico, biomedico ed epidemiologico, anche 
nell’ambito della sperimentazione clinica di farmaci, o 
ricerca scientifica volta a sviluppare le tecniche di analisi 
genetica (sempre che la disponibilità di dati solo anonimi 
su campioni della popolazione non permetta alla ricerca 
di raggiungere i suoi scopi), da svolgersi con il consenso 
dell’interessato salvo che nei casi di indagini statistiche o 
di ricerca scientifica previste dalla legge o negli altri casi 
di cui al par. 8.1 della presente autorizzazione. 


Nell'ambito delle finalità di cui alle precedenti lettere 
a) e b) del presente punto, l’autorizzazione è rilasciata an- 
che all’esclusivo fine di consentire ai destinatari di adem- 
piere o di esigere l'adempimento di specifici obblighi 
o di eseguire specifici compiti previsti dalla normativa 
dell’Unione europea, da leggi o da regolamenti, in par- 
ticolare in materia di igiene e di sanità pubblica, di pre- 
venzione delle malattie professionali, di diagnosi e cura, 
anche per le attività trasfusionali e i trapianti di organi, 
tessuti e cellule staminali emopoietiche, di riabilitazione 
degli stati di invalidità e di inabilità fisica e psichica, di 
tutela della salute mentale, di assistenza farmaceutica, in 
conformità alla legge. Il trattamento può riguardare anche 
la compilazione di cartelle cliniche, di certificati e di altri 
documenti di tipo sanitario. 


Il trattamento di dati genetici e l’utilizzo di campio- 
ni biologici per l’esecuzione di test presintomatici e di 
suscettibilità sono consentiti limitatamente al persegui- 
mento di finalità di tutela della salute, anche per compiere 
scelte riproduttive consapevoli e per scopi di ricerca fina- 
lizzata alla tutela della salute. 


3.2 La presente autorizzazione è rilasciata, altresì, 
quando il trattamento dei dati genetici sia indispensabile: 


a) per lo svolgimento da parte del difensore delle in- 
vestigazioni difensive di cui alla legge 7 dicembre 2000, 
n. 397, anche a mezzo di sostituti, di consulenti tecnici 
e investigatori privati autorizzati, o, comunque, per far 
valere o difendere un diritto anche da parte di un terzo 
in sede giudiziaria, anche senza il consenso dell’interes- 
sato eccetto il caso in cui il trattamento presupponga lo 
svolgimento di test genetici. Ciò, sempre che il diritto da 
far valere o difendere sia di rango pari a quello dell’inte- 
ressato, ovvero consistente in un diritto della personalità 
o in un altro diritto o libertà fondamentale e inviolabile e 
i dati siano trattati esclusivamente per tali finalità e per il 
periodo strettamente necessario al loro perseguimento. Il 
trattamento deve essere comunque effettuato nel rispetto 
delle autorizzazioni generali del Garante al trattamento 


— 32 — È 


Supplemento ordinario n. 3932 alla GAZZETTA UFFICIALE 


Serie generale - n. 303 


dei dati sensibili da parte dei liberi professionisti e da 
parte degli investigatori privati (allo stato, autorizzazioni 
nn. 4 e 6/2014). Il trattamento può comprendere anche le 
informazioni relative a stati di salute pregressi o relative 
ai familiari dell’interessato; 


b) per adempiere o per esigere l'adempimento di 
specifici obblighi o per eseguire specifici compiti previsti 
espressamente dalla normativa dell’Unione europea, da 
leggi o da regolamenti in materia di previdenza e assi- 
stenza o in materia di igiene e sicurezza del lavoro o della 
popolazione, anche senza il consenso dell’interessato, nei 
limiti previsti dall’autorizzazione generale del Garante al 
trattamento dei dati sensibili nei rapporti di lavoro (allo 
stato, l’autorizzazione n. 1/2016) e ferme restando le di- 
sposizioni del codice di deontologia e di buona condotta 
di cui all’art. 111 del Codice. Il trattamento può compren- 
dere anche le informazioni relative a stati di salute pre- 
gressi o relative ai familiari dell’interessato; 


c) per l’accertamento dei vincoli di consanguinei- 
tà per il ricongiungimento familiare di cittadini di Stati 
non appartenenti all’Unione europea, apolidi e rifugiati 
(attualmente disciplinato dal decreto legislativo 25 luglio 
1998, n. 286). Non si considerano, in particolare, indi- 
spensabili i trattamenti di dati genetici effettuati nono- 
stante la disponibilità di procedure alternative che non 
comportano il trattamenti dei dati medesimi. 


4) Modalità di trattamento. 


I destinatari della presente autorizzazione conformano 
il prelievo e l’utilizzo dei campioni biologici e il tratta- 
mento dei dati genetici secondo modalità volte a preve- 
nire la violazione dei diritti, delle libertà fondamentali e 
della dignità degli interessati. Tali attività sono effettuate, 
comunque, in modo lecito e secondo correttezza, nonché 
per scopi determinati in conformità alla presente auto- 
rizzazione e resi noti all’interessato nei modi indicati al 
successivo punto 5. 


Sono predisposte specifiche misure per accertare uni- 
vocamente l’identità del soggetto al quale viene prele- 
vato il materiale biologico per l’esecuzione dell’analisi 
(art. 11, comma I, lettera c), del Codice). 


Il trattamento dei dati genetici è effettuato unicamente 
con operazioni, nonché con logiche e mediante forme di 
organizzazione dei dati strettamente indispensabili in rap- 
porto ai sopra indicati obblighi, compiti o finalità. 


Restano fermi gli obblighi deontologici relativi alle 
singole figure professionali oggetto della presente 
autorizzazione. 


4.1) Raccolta e conservazione. 


La raccolta di dati genetici effettuata per l’esecuzione 
di test e di screening genetici è limitata alle sole infor- 
mazioni personali e familiari strettamente indispensabili 
all’esecuzione dell’analisi (art. 11, comma 1, lettera d), 
del Codice). 


In particolare, nei trattamenti effettuati mediante test 
sulla variabilità individuale non sono raccolti dati sullo 
stato di salute o su altre caratteristiche degli interessati, ad 
eccezione del sesso. Il campione è prelevato da un incari- 
cato del laboratorio di genetica medica o da un medico da 
esso designato ovvero, in caso di ricongiungimento fami- 
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liare, da esercenti le professioni sanitarie appositamente 
incaricati dalle rappresentanze diplomatiche o consolari o 
da organismi internazionali ritenuti idonei dal Ministero 
degli affari esteri. 


4.2) Ricerca scientifica e statistica. 


La ricerca scientifica e statistica, per il cui svolgimento 
è consentito il trattamento dei dati genetici e l’utilizzo dei 
campioni biologici, è effettuata, altresì, sulla base di un 
progetto redatto conformemente agli standard del perti- 
nente settore disciplinare, anche al fine di documentare 
che il trattamento dei dati e l’utilizzo dei campioni biolo- 
gici sia effettuato per idonei ed effettivi scopi scientifici. 
Possono essere utilizzati a tal fine i dati e i campioni bio- 
logici strettamente pertinenti agli scopi perseguiti, avuto 
riguardo ai dati disponibili e ai trattamenti già effettuati 
dallo stesso titolare, nonché all’esistenza di altre moda- 
lità che permettano di raggiungere gli scopi della ricerca 
mediante dati personali diversi da quelli identificativi o 
genetici, ovvero che non comportino il prelievo di cam- 
pioni biologici. 

Il progetto specifica le misure da adottare nel tratta- 
mento dei dati personali per garantire il rispetto della pre- 
sente autorizzazione, nonché della normativa sulla prote- 
zione dei dati personali, anche per i profili riguardanti la 
custodia e la sicurezza dei dati e dei campioni biologici, e 
individua gli eventuali responsabili del trattamento (arti- 
coli 29, 31, 33, 34 e 35 del Codice e Allegato B al mede- 
simo Codice). In particolare, laddove la ricerca preveda 
il prelievo e/o l’utilizzo di campioni biologici, il progetto 
indica l’origine, la natura e le modalità di prelievo e di 
conservazione dei campioni, nonché le misure adottate 
per garantire la volontarietà del conferimento del mate- 
riale biologico da parte dell’interessato. 


Il progetto è conservato a cura del titolare in forma 
riservata almeno per un anno dopo la conclusione della 
ricerca. Il titolare fornisce le informazioni contenute nel 
progetto agli interessati che ne facciano richiesta. 


Quando le finalità della ricerca possono essere realiz- 
zate soltanto tramite l’identificazione anche temporanea 
degli interessati, il titolare adotta specifiche misure per 
mantenere separati i dati identificativi dai campioni biolo- 
gici e dalle informazioni genetiche già al momento della 
raccolta, salvo che ciò risulti impossibile in ragione delle 
particolari caratteristiche del trattamento o richieda un 
impiego di mezzi manifestamente sproporzionato. 


4.3) Misure di sicurezza. 


Per la custodia e la sicurezza dei dati genetici e dei 
campioni biologici sono adottate, in ogni caso, le seguen- 
ti cautele. 


L’accesso ai locali è controllato mediante incarica- 
ti della vigilanza o strumenti elettronici che prevedano 
specifiche procedure di identificazione anche mediante 
dispositivi biometrici. Le persone ammesse, a qualun- 
que titolo, dopo l’orario di chiusura, sono identificate e 
registrate. 


La conservazione, l’utilizzo e il trasporto dei campioni 
biologici sono posti in essere con modalità volte anche 
a garantirne la qualità, l’integrità, la disponibilità e la 
tracciabilità. 
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Il trasferimento dei dati genetici in formato elettronico 
è effettuato con posta elettronica certificata previa cifra- 
tura delle informazioni trasmesse da realizzarsi con firma 
digitale. E ammesso il ricorso a canali di comunicazio- 
ne di tipo «web application» che prevedano protocolli 
di comunicazione sicuri e garantiscano, previa verifica, 
l’identità digitale del server che eroga il servizio e della 
postazione client da cui si effettua l’accesso ai dati, ricor- 
rendo a certificati digitali emessi in conformità alla legge 
da un’autorità di certificazione. 


La consultazione dei dati genetici trattati con strumenti 
elettronici è consentita previa adozione di sistemi di au- 
tenticazione basati sull’uso combinato di informazioni 
note agli incaricati e di dispositivi, anche biometrici, in 
loro possesso. 


I dati genetici e i campioni biologici contenuti in elen- 
chi, registri o banche di dati, sono trattati con tecniche 
di cifratura o mediante l’utilizzazione di codici identifi- 
cativi o di altre soluzioni che, considerato il numero dei 
dati e dei campioni trattati, li rendano temporaneamen- 
te inintelligibili anche a chi è autorizzato ad accedervi e 
permettano di identificare gli interessati solo in caso di 
necessità, in modo da ridurre al minimo i rischi di cono- 
scenza accidentale e di accesso abusivo o non autorizzato. 
Laddove gli elenchi, i registri o le banche di dati siano 
tenuti con strumenti elettronici e contengano anche dati 
riguardanti la genealogia o lo stato di salute degli inte- 
ressati, le predette tecniche devono consentire, altresì, il 
trattamento disgiunto dei dati genetici e sanitari dagli altri 
dati personali che permettono di identificare direttamente 
le persone interessate. Restano comunque fermi gli altri 
obblighi previsti dagli articoli 11, 14, 22 e 31 e seguen- 
ti del Codice e le modalità tecniche in materia di misu- 
re minime di sicurezza indicate nel disciplinare tecnico 
allegato al medesimo Codice, anche per ciò che attiene 
alla conservazione e al trasporto dei dati all’esterno dei 
locali protetti e all’accesso controllato a tali locali. Tali 
obblighi vanno osservati anche in riferimento ai campioni 
biologici. 


5) Informativa. 


Salvo che per i trattamenti non sistematici di dati ge- 
netici effettuati dal medico di medicina generale e dal pe- 
diatra di libera scelta nell’ambito degli ordinari rapporti 
con l’interessato per la tutela della salute e dell’incolu- 
mità fisica di quest’ultimo, l’informativa evidenzia, oltre 
agli elementi previsti in base agli articoli 13, 77 e 78 del 
Codice: 


a) V’esplicitazione analitica di tutte le specifiche fi- 
nalità perseguite; 


b) i risultati conseguibili anche in relazione alle noti- 
zie inattese che possono essere conosciute per effetto del 
trattamento dei dati genetici; 


c) il diritto dell’interessato di opporsi al trattamento 
dei dati genetici per motivi legittimi; 


d) la facoltà o meno, per l’interessato, di limitare 
l’ambito di comunicazione dei dati genetici e il trasferi- 
mento dei campioni biologici, nonché l’eventuale utilizzo 
di questi per ulteriori scopi; 


TO 
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e) il periodo di conservazione dei dati genetici e dei 
campioni biologici. 

Nel caso in cui sia previsto il trasferimento di dati 
genetici e di campioni anche in Paesi non appartenenti 
all’Unione europea l’informativa deve specificare se tali 
Paesi non garantiscono un livello di tutela delle persone 
adeguato ai sensi degli articoli 43, 44 e 45 del Codice, 
nonché gli estremi identificativi dei soggetti destinatari 
dei dati e dei campioni, al fine di garantire in concreto 
all’interessato la possibilità di esercitare il controllo sui 
dati e sui campioni che lo riguardano. 


Dopo il raggiungimento della maggiore età l’informa- 
tiva è fornita all’interessato anche ai fini dell’acquisizione 
di una nuova manifestazione del consenso quando questo 
è necessario (art. 82, comma 4, del Codice). 


Per i trattamenti effettuati per scopi di ricerca scientifi- 
ca e statistica l’informativa evidenzia, altresì: 


a) che il consenso è manifestato liberamente ed è 
revocabile in ogni momento senza che ciò comporti alcu- 
no svantaggio (o) pregiudizio per l’interessato, salvo che i 
dati e i campioni biologici, in origine o a seguito di trat- 
tamento, non consentano più di identificare il medesimo 
interessato; 


b) gli accorgimenti adottati per consentire l’identi- 
ficabilità degli interessati soltanto per il tempo necessa- 
rio agli scopi della raccolta o del successivo trattamento 
(art. 11, comma 1, lettera e), del Codice); 

c) l'eventualità che i dati e/o i campioni biologi- 
ci siano conservati e utilizzati per altri scopi di ricerca 
scientifica e statistica, per quanto noto, adeguatamente 
specificati anche con riguardo alle categorie di soggetti 
ai quali possono essere eventualmente comunicati i dati 
oppure trasferiti i campioni; 


d) le modalità con cui gli interessati che ne facciano 
richiesta possono accedere alle informazioni contenute 
nel progetto di ricerca. 


Per i trattamenti effettuati mediante test e screening 
genetici per finalità di tutela della salute, di ricerca o di 
ricongiungimento familiare, l'informativa è resa all’inte- 
ressato prima del prelievo, ovvero dell’utilizzo del suo 
campione biologico qualora lo stesso sia stato già pre- 
levato, anche in forma scritta, in modo specifico e com- 
prensibile, anche quando il trattamento è effettuato da 
esercenti la professione sanitaria o da organismi sanitari 
pubblici e privati che abbiano informato in precedenza il 
medesimo interessato utilizzando le modalità semplifica- 
te previste dagli articoli 77, 78 e 79 del Codice. 


I trattamenti per lo svolgimento delle investigazioni di- 
fensive o per l’esercizio di un diritto in sede giudiziaria 
possono essere effettuati mediante l’esecuzione di test ge- 
netici soltanto previa informativa all’interessato da ren- 
dersi con le modalità sopra indicate. 


5.1) Consulenza genetica e attività di informazione. 


Per i trattamenti effettuati mediante test genetici per 
finalità di tutela della salute o di ricongiungimento fami- 
liare è fornita all’interessato una consulenza genetica pri- 
ma e dopo lo svolgimento dell’analisi. Prima dell’intro- 
duzione di screening genetici finalizzati alla tutela della 
salute da parte di organismi sanitari sono adottate idonee 
misure per garantire un’attività di informazione al pubbli- 
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co in merito alla disponibilità e alla volontarietà dei test 
effettuati, alle specifiche finalità e conseguenze, anche 
nell’ambito di pubblicazioni istituzionali e mediante reti 
di comunicazione elettronica. 


Il consulente genetista aiuta i soggetti interessati a 
prendere in piena autonomia le decisioni ritenute più ade- 
guate, tenuto conto del rischio genetico, delle aspirazioni 
familiari e dei loro principi etico-religiosi, aiutandoli ad 
agire coerentemente con le scelte compiute, nonché a re- 
alizzare il miglior adattamento possibile alla malattia e/o 
al rischio di ricorrenza della malattia stessa. 


Sono adottate cautele idonee ad evitare che la con- 
sulenza genetica avvenga in situazioni di promiscuità 
derivanti dalle modalità utilizzate o dai locali prescelti, 
nonché a prevenire l’indebita conoscenza da parte di terzi 
di informazioni genetiche o idonee a rivelare lo stato di 
salute. 


Nei casi in cui il test sulla variabilità individuale è vol- 
to ad accertare la paternità o la maternità gli interessati 
sono, altresì, informati circa la normativa in materia di 
filiazione, ponendo in evidenza le eventuali conseguenze 
psicologiche e sociali dell’esame. 


L’attuazione di ricerche scientifiche su isolati di popo- 
lazione è preceduta da un’attività di informazione presso 
le comunità interessate, anche mediante mezzi di comuni- 
cazione di massa su base locale e presentazioni pubbliche, 
volta ad illustrare la natura della ricerca, le finalità perse- 
guite, le modalità di attuazione, le fonti di finanziamento 
e i rischi o benefici attesi per le popolazioni coinvolte. 
L’attività di informazione evidenzia anche gli eventuali 
rischi di discriminazione o stigmatizzazione delle comu- 
nità interessate, nonché quelli inerenti alla conoscibilità 
di inattesi rapporti di consanguineità e le azioni intraprese 
per ridurre al minimo tali rischi. 


6) Consenso. 


In conformità a quanto previsto dagli articoli 23 e 26 
del Codice, i dati genetici possono essere trattati e i cam- 
pioni biologici utilizzati soltanto per gli scopi indicati 
nella presente autorizzazione e rispetto ai quali la perso- 
na abbia manifestato previamente e per iscritto il proprio 
consenso informato. In conformità all’art. 23 del Codice, 
il consenso resta valido solo se l’interessato è libero da 
ogni condizionamento o coercizione e resta revocabile li- 
beramente in ogni momento. Nel caso in cui l’interessato 
revochi il consenso al trattamento dei dati per scopi di ri- 
cerca, è distrutto anche il campione biologico sempre che 
sia stato prelevato per tali scopi, salvo che, in origine o a 
seguito di trattamento, il campione non possa più essere 
riferito ad una persona identificata o identificabile. 


Per i trattamenti effettuati mediante test genetici, 
compreso lo screening, anche a fini di ricerca o di ricon- 
giungimento familiare, deve essere acquisito il consen- 
so informato dei soggetti cui viene prelevato il materiale 
biologico necessario all’esecuzione dell’analisi. In questi 
casi, all’interessato è richiesto di dichiarare se vuole co- 
noscere o meno 1 risultati dell’esame o della ricerca, com- 
prese eventuali notizie inattese che lo riguardano, qualora 
queste ultime rappresentino per l’interessato un beneficio 
concreto e diretto in termini di terapia o di prevenzione o 
di consapevolezza delle scelte riproduttive. 
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Per le informazioni relative ai nascituri il consenso è 
validamente prestato dalla gestante. Nel caso in cui il trat- 
tamento effettuato mediante test prenatale possa rivelare 
anche dati genetici relativi alla futura insorgenza di una 
patologia del padre, è previamente acquisito anche il con- 
senso di quest’ultimo. 


Quando il trattamento è necessario per la salvaguar- 
dia della vita e dell’incolumità fisica dell’interessato, e 
quest’ultimo non può prestare il proprio consenso per im- 
possibilità fisica, incapacità d’agire o incapacità di inten- 
dere o di volere, il consenso è manifestato da chi esercita 
legalmente la potestà, ovvero da un prossimo congiunto, 
da un familiare, da un convivente o, in loro assenza, dal 
responsabile della struttura presso cui dimora l’interes- 
sato. Si applicano le disposizioni di cui all’art. 82 del 
Codice. 


L’opinione del minore, nella misura in cui lo consente 
la sua età e il suo grado di maturità, è, ove possibile, presa 
in considerazione, restando preminente in ogni caso l’in- 
teresse del minore. Negli altri casi di incapacità, il tratta- 
mento è consentito se le finalità perseguite comportano 
un beneficio diretto per l’interessato e la sua opinione è, 
ove possibile, presa in considerazione, restando premi- 
nente in ogni caso l’interesse dell’incapace. 


I dati e i campioni biologici di persone che non possono 
fornire il proprio consenso per incapacità, possono essere 
trattati per finalità di ricerca scientifica che non comporti- 
no un beneficio diretto per i medesimi interessati qualora 
ricorrano contemporaneamente le seguenti condizioni: 


a) la ricerca è finalizzata al miglioramento della sa- 
lute di altre persone appartenenti allo stesso gruppo d’età 
o che soffrono della stessa patologia o che si trovano nelle 
stesse condizioni e il programma di ricerca è oggetto di 
motivato parere favorevole del competente comitato etico 
a livello territoriale; 


b) una ricerca di analoga finalità non può essere re- 
alizzata mediante il trattamento di dati riferiti a persone 
che possono prestare il proprio consenso; 


c) il consenso al trattamento è acquisito da chi eser- 
cita legalmente la potestà, ovvero da un prossimo con- 
giunto, da un familiare, da un convivente o, in loro as- 
senza, dal responsabile della struttura presso cui dimora 
l’interessato; 


d) la ricerca non comporta rischi significativi per la 
dignità, i diritti e le libertà fondamentali degli interessati. 


In tali casi, resta fermo quanto sopra previsto in ordi- 
ne all’esigenza di tenere in considerazione, ove possibile, 
l’opinione del minore o dell’incapace. 


I trattamenti di dati connessi all’esecuzione di test ge- 
netici presintomatici possono essere effettuati sui mino- 
ri non affetti, ma a rischio per patologie genetiche solo 
nel caso in cui esistano concrete possibilità di terapie o 
di trattamenti preventivi prima del raggiungimento della 
maggiore età. I test sulla variabilità individuale non pos- 
sono essere condotti su minori senza che venga acquisito 
il consenso di ambedue i genitori, ove esercitano entram- 
bi la potestà sul minore. 

I trattamenti di dati connessi all’esecuzione di test ge- 
netici per lo svolgimento delle investigazioni difensive o 
per l’esercizio di un diritto in sede giudiziaria possono 
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essere effettuati soltanto con il consenso informato della 
persona cui appartiene il materiale biologico necessario 
all'indagine, salvo che un’espressa disposizione di legge, 
o un provvedimento dell’autorità giudiziaria in conformi- 
tà alla legge, disponga altrimenti. 


7) Trattamenti in settori particolari. 


I dati genetici trattati e i campioni biologici preleva- 
ti per l’esecuzione di test sulla variabilità individuale ai 
fini dello svolgimento delle investigazioni difensive o per 
l’esercizio di un diritto in un procedimento penale non 
possono essere utilizzati per altri fini. I dati trattati e i 
campioni biologici prelevati per l’esecuzione di test ge- 
netici a fini di prevenzione, di diagnosi o di terapia nei 
confronti dell’interessato o per finalità di ricerca scientifi- 
ca e statistica possono essere utilizzati per lo svolgimento 
delle investigazioni difensive o per l’esercizio di un dirit- 
to in un procedimento penale, nel rispetto delle pertinenti 
disposizioni di legge. 


8) Conservazione dei dati e dei campioni. 


Con riferimento all’obbligo previsto dall’art. 11, com- 
ma 1, lettera e), del Codice, i campioni biologici e i dati 
genetici possono essere conservati per il periodo di tempo 
non superiore a quello strettamente necessario per adem- 
piere agli obblighi o ai compiti indicati al punto 3 del- 
la presente autorizzazione o per perseguire le finalità ivi 
menzionate per le quali sono stati raccolti o successiva- 
mente utilizzati. 


I campioni biologici prelevati e i dati genetici trattati 
per l’esecuzione di test e di screening genetici sono con- 
servati per un periodo di tempo non superiore a quello ne- 
cessario allo svolgimento dell’analisi o al perseguimento 
degli scopi per i quali sono stati raccolti o successivamen- 
te utilizzati. 


I dati genetici trattati a fini di ricongiungimento fami- 
liare sono conservati per un periodo di tempo non supe- 
riore a quello necessario all’esame dell’istanza di ricon- 
giungimento, salvo che per l’eventuale conservazione, a 
norma di legge, dell’atto o del documento che li contiene. 
A seguito del rigetto o dell’accoglimento dell’istanza, i 
campioni prelevati per l’accertamento dei vincoli di con- 
sanguineità devono essere distrutti (art. 11, comma 1, let- 
tera e), del Codice). 


Ai sensi dell’art. 11, comma 1, lettera c), d) ed e), del 
Codice, i soggetti autorizzati verificano periodicamente 
l’esattezza e l’aggiornamento dei dati, nonché la loro per- 
tinenza, completezza, non eccedenza e indispensabilità 
rispetto alle finalità perseguite nei singoli casi, anche con 
riferimento ai dati che l’interessato fornisce di propria 
iniziativa. I dati che, anche a seguito delle verifiche, risul- 
tano eccedenti o non pertinenti o non indispensabili non 
possono essere utilizzati. 

8.1) Conservazione a fini di ricerca. 

I campioni biologici prelevati e i dati genetici raccolti 
per scopi di tutela della salute possono essere conservati 
ed utilizzati per finalità di ricerca scientifica o statistica, 
ferma restando la necessità di acquisire il consenso in- 
formato delle persone interessate, eccetto che nei casi di 
indagini statistiche o ricerche scientifiche previste dalla 
legge o limitatamente al perseguimento di scopi scientifi- 
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ci e statistici direttamente collegati con quelli per i quali 
è stato originariamente acquisito il consenso informato 
degli interessati. Quando a causa di particolari ragioni 
non è possibile informare gli interessati malgrado sia sta- 
to compiuto ogni ragionevole sforzo per raggiungerli, la 
conservazione e l’ulteriore utilizzo di campioni biologici 
e di dati genetici raccolti per la realizzazione di progetti 
di ricerca e indagini statistiche, diversi da quelli originari, 
sono consentiti se una ricerca di analoga finalità non può 
essere realizzata mediante il trattamento di dati riferiti a 
persone dalle quali può essere o è stato acquisito il con- 
senso informato e: 


a) il programma di ricerca comporta l’utilizzo di 
campioni biologici e di dati genetici che in origine non 
consentono di identificare gli interessati, ovvero che, a 
seguito di trattamento, non consentono di identificare i 
medesimi interessati e non risulta che questi ultimi abbia- 
no in precedenza fornito indicazioni contrarie; 


b) ovvero il programma di ricerca, oggetto di moti- 
vato parere favorevole del competente comitato etico a li- 
vello territoriale, è autorizzato appositamente dal Garante 
ai sensi dell’art. 90 del Codice. 


9) Comunicazione e diffusione dei dati. 


I dati genetici non possono essere comunicati e i cam- 
pioni biologici non possono essere messi a disposizione 
di terzi salvo che sia indispensabile per il perseguimento 
delle finalità indicate dalla presente autorizzazione. 


I dati genetici e i campioni biologici raccolti per scopi 
di ricerca scientifica e statistica possono essere comuni- 
cati o trasferiti a enti e istituti di ricerca, alle associazioni 
e agli altri organismi pubblici e privati aventi finalità di 
ricerca, esclusivamente nell’ambito di progetti congiunti. 


I dati genetici e i campioni biologici raccolti per scopi 
di ricerca scientifica e statistica possono essere comuni- 
cati o trasferiti ai soggetti sopra indicati, non partecipanti 
a progetti congiunti, limitatamente alle informazioni pri- 
ve di dati identificativi, per scopi scientifici direttamente 
collegati a quelli per i quali sono stati originariamente 
raccolti e chiaramente determinati per iscritto nella ri- 
chiesta dei dati e/o dei campioni. In tal caso, il soggetto 
richiedente si impegna a non trattare i dati e/o utilizzare i 
campioni per fini diversi da quelli indicati nella richiesta 
e a non comunicarli o trasferirli ulteriormente a terzi. 


I dati genetici raccolti a fini di ricongiungimento fami- 
liare possono essere comunicati unicamente alle rappre- 
sentanze diplomatiche o consolari competenti all’esame 
della documentazione prodotta dall’interessato o all’or- 
ganismo internazionale ritenuto idoneo dal Ministero de- 
gli affari esteri cui questi si sia rivolto. I campioni biolo- 
gici prelevati ai medesimi fini possono essere trasferiti 
unicamente al laboratorio designato per l’effettuazione 
del test sulla variabilità individuale o all'organismo inter- 
nazionale ritenuto idoneo dal Ministero degli affari esteri. 


Fermo restando quanto previsto dall’art. 84 del Codice, 
i dati genetici devono essere resi noti di regola diretta- 
mente all’interessato o a persone diverse dal diretto in- 
teressato sulla base di una delega scritta di quest’ultimo, 
adottando ogni mezzo idoneo a prevenire la conoscenza 
non autorizzata da parte di soggetti anche compresenti. 
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La comunicazione nelle mani di un delegato dell’interes- 
sato è eseguita in plico chiuso. 


Gli esiti di test e di screening genetici, nonché 1 risul- 
tati delle ricerche qualora comportino per l’interessato un 
beneficio concreto e diretto in termini di terapia, preven- 
zione o di consapevolezza delle scelte riproduttive, devo- 
no essere comunicati al medesimo interessato anche nel 
rispetto della sua dichiarazione di volontà di conoscere 
o meno tali eventi e, ove necessario, con un’appropriata 
consulenza genetica. 


Gli esiti di test e di screening genetici, nonché 1 risultati 
delle ricerche, qualora comportino un beneficio concreto 
e diretto in termini di terapia, prevenzione o di consape- 
volezza delle scelte riproduttive, anche per gli apparte- 
nenti alla stessa linea genetica dell’interessato, possono 
essere comunicati a questi ultimi, su loro richiesta, qua- 
lora l’interessato vi abbia espressamente acconsentito op- 
pure qualora tali risultati siano indispensabili per evitare 
un pregiudizio per la loro salute, ivi compreso il rischio 
riproduttivo, e il consenso dell’interessato non sia presta- 
to o non possa essere prestato per effettiva irreperibilità. 


In caso di ricerche condotte su popolazioni isolate, de- 
vono essere resi noti alle comunità interessate e alle auto- 
rità locali gli eventuali risultati della ricerca che rivestono 
un’importanza terapeutica o preventiva per la tutela della 
salute delle persone appartenenti a tali comunità. 


I dati genetici non possono essere diffusi. I risultati del- 
le ricerche non possono essere diffusi se non in forma ag- 
gregata, ovvero secondo modalità che non rendano iden- 
tificabili gli interessati neppure tramite dati identificativi 
indiretti, anche nell’ambito di pubblicazioni. 


Fermo restando quanto previsto al punto 5) in ordi- 
ne all’informativa all’interessato, il trasferimento anche 
temporaneo fuori dal territorio dello Stato, con qualsiasi 
forma o mezzo, di dati genetici e/o di campioni biologi- 
ci, verso un Paese non appartenente all'Unione europea 
è consentito in conformità agli articoli 43, 44 e 45 del 
Codice. 


10) Richieste di autorizzazione. 


I titolari dei trattamenti che rientrano nell’ambito di ap- 
plicazione della presente autorizzazione non sono tenuti 
a presentare una richiesta di autorizzazione a questa Au- 
torità, qualora il trattamento che si intende effettuare sia 
conforme alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perver- 
ranno anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante non prenderà in considerazione richieste di 
autorizzazione per trattamenti da effettuarsi in difformità 
alle prescrizioni del presente provvedimento, salvo che il 
loro accoglimento sia giustificato da circostanze del tut- 
to particolari o da situazioni eccezionali non considera- 
te nella presente autorizzazione, relative, ad esempio, al 
caso in cui la raccolta del consenso comporti un impiego 
di mezzi manifestamente sproporzionato in ragione, in 
particolare, del numero di persone interessate. 
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11) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge o 
di regolamento, ovvero dalla normativa dell’Unione eu- 
ropea, che stabiliscono divieti o limiti in materia di tratta- 
mento di dati genetici. 


Resta fermo per il titolare del trattamento di dati gene- 
tici l’obbligo di effettuare, nei casi previsti, la notificazio- 
ne al Garante prima dell’inizio del trattamento medesimo 
(articoli 37 e 163 del Codice). 


12) Efficacia temporale. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
regolamento. 


La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 


Il presidente 
Soro 


Il relatore 
CALIFANO 


Il segretario generale 
Busia 
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AUTORIZZAZIONE 15 dicembre 2016. 


Autorizzazione generale al trattamento dei dati persona- 
li effettuato per scopi di ricerca scientifica. (Autorizzazione 
n. 9/2016). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


Nella riunione odierna, in presenza del dott. Antonel- 
lo Soro, presidente, della dott.ssa Augusta Iannini, vice 
presidente, della dott.ssa Giovanna Bianchi Clerici, della 
prof.ssa Licia Califano, componenti e del dott. Giuseppe 
Busia, segretario generale; 

Visto il decreto legislativo 30 giugno 2003, n. 196, Co- 
dice in materia di protezione dei dati personali (di seguito 
«Codice»); 
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Visto l’art. 99, comma 1, del Codice in base al quale il 
trattamento di dati personali effettuato per scopi scientifi- 
ci è considerato compatibile con i diversi scopi per i quali 
i dati sono stati in precedenza raccolti o trattati; 


Visto l’art. 107 del Codice ove è stabilito che, fermo 
restando quanto previsto dall’art. 20 e fuori dei casi di 
particolari indagini statistiche o di ricerca scientifica 
previste dalla legge, il consenso dell’interessato al trat- 
tamento di dati sensibili, quando è richiesto, può essere 
prestato con modalità semplificate individuate dai codici 
di deontologia e buona condotta per i trattamenti di dati 
personali a scopi statistici o scientifici di cui all’art. 106 
e l’autorizzazione del Garante può essere rilasciata anche 
ai sensi dell’art. 40; 


Visto l’art. 110, comma 1, del Codice che consente di 
trattare dati personali idonei a rivelare lo stato di salute 
per scopi di ricerca scientifica in campo medico, biomedi- 
co 0 epidemiologico, anche in assenza del consenso degli 
interessati, quando a causa di particolari ragioni non sia 
possibile informarli e il programma di ricerca sia oggetto 
di motivato parere favorevole del competente comitato 
etico a livello territoriale e sia autorizzato dal Garante, 
anche ai sensi dell’art. 40 del Codice; 


Vista l’autorizzazione del Garante n. 2/2016 al trat- 
tamento dei dati idonei a rivelare lo stato di salute e la 
vita sessuale e, in particolare, il punto 1.2 che autorizza il 
trattamento di dati personali idonei a rivelare lo stato di 
salute per scopi di ricerca scientifica finalizzata alla tutela 
della salute dell’interessato, di terzi o della collettività in 
campo medico, biomedico o epidemiologico, rinviando a 
quanto disposto dagli articoli 106, 107 e 110 del Codice 
in ordine alla necessità di acquisire il consenso delle per- 
sone interessate; 


Viste le disposizioni del codice di deontologia e buo- 
na condotta per i trattamenti di dati personali per scopi 
statistici e scientifici (Provv. n. 2 del 16 giugno 2004, in 
Gazzetta Ufficiale 14 agosto 2004, n. 190, Allegato A.4 
al Codice e reperibile sul sito Internet dell’ Autorità, doc. 
web n. 1556635) applicabili anche ai trattamenti di dati 
effettuati per scopi di ricerca medica, biomedica o epide- 
miologica non connessi con attività di tutela della salute 
svolte da esercenti professioni sanitarie od organismi sa- 
nitari, ovvero con attività comparabili in termini di signi- 
ficativa ricaduta personalizzata sull’interessato (articoli 
11 e 2, comma 2); 


Visto l’art. 2 del decreto legislativo 24 giugno 2003, 
n. 211 e successive modifiche e integrazioni che defini- 
sce «studi osservazionali» gli studi nei quali «i medicinali 
sono prescritti secondo le indicazioni dell’autorizzazione 
all'immissione in commercio. L'assegnazione del pazien- 
te a una determinata strategia terapeutica non è decisa 
in anticipo da un protocollo di sperimentazione, ma ri- 
entra nella normale pratica clinica e la decisione di pre- 
scrivere il medicinale è del tutto indipendente da quella 
di includere il paziente nello studio. Ai pazienti non si 
applica nessuna procedura supplementare di diagnosi o 
monitoraggio»; 


Considerato che un elevato numero di trattamenti di 
dati idonei a rivelare lo stato di salute e, ove indispensabi- 
li per il raggiungimento delle finalità della ricerca, di dati 
idonei a rivelare la vita sessuale e l’origine razziale ed 
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etnica, è effettuato da diversi titolari del trattamento per 
la conduzione di studi finalizzati alla ricerca scientifica in 
campo medico, biomedico o epidemiologico, non aventi 
significativa ricaduta personalizzata sull’interessato, che 
utilizzano dati raccolti in precedenza a fini di cura degli 
interessati o per l’esecuzione di precedenti progetti di ri- 
cerca, ovvero ricavati da campioni biologici prelevati in 
precedenza per finalità di tutela della salute o per l’esecu- 
zione di precedenti progetti di ricerca; 


Considerato che gli studi in questione non mirano 
soltanto a valutare la sicurezza e l’efficacia dei farmaci 
e di dispositivi medici nella pratica clinica ma anche a 
verificarne l’appropriatezza prescrittiva o ad indagare le 
relazioni tra i fattori di rischio e la salute umana, oppure 
vertono su eventi sanitari di tipo diagnostico, terapeuti- 
co o preventivo, ovvero sull’utilizzazione di strutture 
socio-sanitarie; 

Considerato che, nell’ambito di tali studi, i dati oggetto 
di trattamento sono registrati nella documentazione clini- 
ca (o nella documentazione inerente i precedenti studi in 
cui sono stati raccolti) conservata presso i centri di cura 
partecipanti in conformità alla legge, oppure sono ricavati 
da campioni biologici asportati e conservati negli archi- 
vi di anatomia patologica dei medesimi centri o prelevati 
nell’ambito di precedenti progetti di ricerca; 


Visti gli specifici provvedimenti di autorizzazione rila- 
sciati dall’ Autorità, ai sensi degli articoli 110, comma 1 
(ultima parte) e 41 del Codice, con i quali è stata auto- 
rizzata, anche in assenza del consenso degli interessati, 
la conduzione di studi, non aventi significativa ricaduta 
personalizzata sull’interessato, effettuati con dati raccolti 
in precedenza per finalità di tutela della salute degli inte- 
ressati o ricavati da campioni biologici prelevati in pre- 
cedenza per le stesse finalità; ciò, in quanto, a causa di 
comprovate particolari ragioni, è stata documentata l’im- 
possibilità di fornire loro l’informativa sul trattamento 
dei dati e il relativo programma di ricerca ha ricevuto un 
motivato parere favorevole del comitato etico territorial- 
mente competente; 


Considerato che i trattamenti dei dati sensibili possono 
essere autorizzati dal Garante anche d’ufficio con provve- 
dimenti di carattere generale, relativi a determinate cate- 
gorie di titolari o di trattamenti (art. 40 del Codice); 


Considerato che l’autorizzazione di carattere generale 
rilasciata, ai sensi dell’art. 40 del Codice, 1° 11 dicembre 
2014, in relazione ai trattamenti di dati idonei a rivelare lo 
stato di salute a scopi di ricerca scientifica effettuati, anche 
in assenza del consenso degli interessati, per la conduzio- 
ne di studi, non aventi significativa ricaduta personaliz- 
zata sull’interessato, con dati raccolti in precedenza per 
finalità di tutela della salute o ricavati da campioni biolo- 
gici prelevati in precedenza per la stessa finalità è risulta- 
ta uno strumento idoneo per prescrivere misure uniformi 
a garanzia degli interessati, rendendo altresì superflua la 
richiesta di singoli provvedimenti di autorizzazione da 
parte di numerosi titolari del trattamento e semplificando, 
in maniera significativa, gli adempimenti degli obblighi 
relativi ai trattamenti di dati per la conduzione di ricerche 
mediche, biomediche o epidemiologiche; 


Ritenuto opportuno pertanto, alla luce dell’esperienza 
maturata, rilasciare una nuova autorizzazione in sostitu- 
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zione di quella in scadenza il 31 dicembre 2016, armoniz- 
zando le prescrizioni già impartite alla luce dell’esperien- 
za maturata; 


Ritenuto opportuno che anche tale nuova autoriz- 
zazione sia provvisoria e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice e, in particolare, effica- 
ce fino al 24 maggio 2018, ovvero fino alla diversa data 
di applicazione del regolamento (UE) 2016/679 (relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE); 


Ritenuto opportuno che anche tali nuove autorizza- 
zioni siano provvisorie e a tempo determinato, ai sensi 
dell’art. 41, comma 5, del Codice, e, in particolare effica- 
ci fino al 24 maggio 2018, tenuto conto che a decorrere 
dal 25 maggio 2018 sarà applicabile il regolamento (UE) 
2016/679, entrato in vigore il 24 maggio 2016, relativo 
alla protezione delle persone fisiche con riguardo al trat- 
tamento dei dati personali, nonché alla libera circolazione 
di tali dati e che abroga la direttiva 95/46/CE; 


Ritenuto altresì opportuno, in conformità a quanto 
previsto dall’art. 110 del Codice (ultima parte), prendere 
in considerazione ai fini della presente autorizzazione i 
trattamenti per scopi di ricerca scientifica preordinati alla 
conduzione di studi che siano oggetto di motivato parere 
favorevole del comitato etico competente a livello terri- 
toriale, non essendo a tal fine sufficiente la formazione 
del silenzio/assenso a seguito della notifica dello studio al 
predetto comitato; 


Considerato che, in virtù dell’art. 11 del menzionato 
codice deontologico per i trattamenti di dati personali per 
scopi statistici e scientifici, il consenso non è necessario 
quando, ai sensi dell’art. 110 del Codice, non è possibi- 
le informare gli interessati per «motivi etici», ovvero per 
«motivi metodologici», ovvero per «motivi di impossibi- 
lità organizzativa»; 


Considerato che, nelle richieste di autorizzazione fi- 
nora sottoposte all’esame dell’Autorità, l'impossibilità 
di informare gli interessati è risultata giustificata sulla 
base di «motivi etici» ovvero di «motivi di impossibilità 
organizzativa»; 


Ritenuto opportuno quindi, alla luce dell’esperienza 
maturata, che i trattamenti di dati idonei a rivelare lo stato 
di salute per scopi di ricerca scientifica preordinati alla 
conduzione di studi in campo medico, biomedico o epi- 
demiologico in cui l’impossibilità di informare gli inte- 
ressati sia giustificata da «motivi metodologici» vengano 
sottoposti a specifici provvedimenti di autorizzazione del 
Garante; 


Ritenuto che ai trattamenti oggetto della presente au- 
torizzazione devono trovare applicazione anche le cau- 
tele contenute nell’autorizzazione generale del Garante 
n. 2/2016 e nel codice deontologico sopra citati, in par- 
ticolare per ciò che attiene ai criteri da tenere in conside- 
razione per non rendere identificabili gli interessati nelle 
fasi dello studio successive all’estrapolazione dei dati e 
alle regole di condotta per gli incaricati e gli eventuali 
responsabili del trattamento; 


Rilevato che anche l’eventuale raccolta e la conserva- 
zione di campioni biologici, così come il trattamento dei 
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dati che ne derivano, devono essere effettuati in confor- 
mità ai principi fondamentali di protezione e di sicurezza 
dei dati (v. Raccomandazione del Consiglio d’Europa n. 
R (92) 3 relativa ai test genetici ed allo screening geneti- 
co per scopi di natura sanitaria; Documento di lavoro sui 
dati genetici del Gruppo Art. 29 della Dir. 95/46/CE, WP 
91/2004); 


Considerato che l’utilizzo di campioni biologi- 
ci nell’ambito di ricerche scientifiche che comportano 
l’estrapolazione di dati genetici deve essere effettuato 
nel rispetto dei limiti e delle condizioni contenute nella 
specifica autorizzazione generale del Garante n. 8/2016 
al trattamento dei dati genetici, rilasciata in pari data alla 
presente autorizzazione generale ai sensi dell’art. 90 del 
Codice; 


Vista altresì la Raccomandazione del Consiglio d’Eu- 
ropa n. R (2016) 6 che individua le condizioni e i limiti 
nel rispetto dei quali è consentito l’utilizzo di materiale 
biologico per attività di ricerca, anche appartenente a per- 
sone decedute, prelevato per uno scopo diverso da quel- 
lo della sua conservazione a fini di ricerca, ivi compreso 
quello prelevato per l’esecuzione di un precedente pro- 
getto di ricerca; considerato che tale Raccomandazione 
stabilisce che il materiale biologico prelevato per scopi 
diversi da quelli di conservazione a fini di ricerca può 
essere messo a disposizione per attività di ricerca con il 
necessario consenso dell’interessato e che, a tal fine, do- 
vrebbe essere fatto ogni ragionevole sforzo per contattare 
la persona interessata, mentre ove tale contatto non sia 
possibile, il materiale biologico può essere utilizzato per 
attività di ricerca soltanto se sono soddisfatti particolari 
requisiti (art. 2, e Cap. III e V); 


Visto il Codice di deontologia medica dell’8 maggio 
2014 nella parte in cui prevede l’obbligo del segreto pro- 
fessionale da parte del medico anche con riferimento ai 
pazienti deceduti (art. 10); 


Considerato che la presente autorizzazione prende 
in considerazione quelle ipotesi residuali, ammesse dal 
Codice (art. 110), in cui il necessario consenso degli 
interessati per il trattamento di dati sensibili a scopi di 
ricerca scientifica in campo medico, biomedico o epide- 
miologico non sia stato previamente raccolto dai titolari 
del trattamento, sussistano delle particolari e comprovate 
circostanze dalle quali derivi l’impossibilità di informa- 
re gli interessati e la ricerca non possa essere realizzata 
mediante il trattamento di dati anonimi o di dati riferiti 
a individui che sia possibile contattare al fine di rendere 
l’informativa di cui all’art. 13 del Codice; 


Rilevato che, in ottemperanza ai principi, richiamati 
dall’art. 2, comma 2, del Codice, di semplificazione, ar- 
monizzazione ed efficacia delle modalità di esercizio dei 
diritti degli interessati e di adempimento degli obblighi da 
parte dei titolari del trattamento, è auspicabile che l’infor- 
mativa sul trattamento di dati idonei a rivelare lo stato di 
salute per scopi di ricerca scientifica sia fornita all’inte- 
ressato contestualmente a quella sul trattamento dei dati 
a fini di cura, specie da parte di titolari del trattamento 
che perseguono finalità di ricerca scientifica unitamente 
ad attività di ricovero e cura; 


Ritenuto che, nell’ambito di detta informativa resa 
all’interessato, occorre distinguere chiaramente, con ri- 
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ferimento all’indicazione degli elementi di cui all’art. 13 
del Codice, i trattamenti effettuati per scopi di ricerca 
scientifica da quelli preordinati alla tutela della salute, 
evidenziando in particolare la volontarietà della parteci- 
pazione alla ricerca, in modo da consentire all’interessa- 
to, di manifestare consapevolmente un consenso libero 
e specifico rispetto ai differenti scopi perseguiti (articoli 
13, 23, 78, comma 5, e 105, comma 2, del Codice); 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce 
che i dati trattati in violazione della disciplina rilevante 
in materia di trattamento di dati personali non possono 
essere utilizzati; 


Visti gli articoli 31 e seguenti del Codice e il discipli- 
nare tecnico di cui all’ Allegato 8) al medesimo Codice in 
materia di misure minime di sicurezza; 


Visti gli articoli 20, 26, 40, 41, 98, 107 e 110 del Codice; 


Visti gli articoli 162, comma 2-bis, 167, comma 2, 
e 170 del Codice che sanzionano il trattamento illecito 
dei dati personali e l'inosservanza dei provvedimenti del 
Garante; 


Visti gli atti d’ufficio; 


Viste le osservazioni dell'Ufficio formulate dal segre- 
tario generale ai sensi dell’art. 15 del regolamento del Ga- 
rante n. 1/2000; 


Relatore la prof.ssa Licia Califano; 


Autorizza 


il trattamento dei dati idonei a rivelare lo stato di salute e, 
solo ove indispensabili per il raggiungimento delle finali- 
tà della ricerca, dei dati idonei a rivelare la vita sessuale e 
l’origine razziale ed etnica, anche in assenza del consenso 
degli interessati, per scopi di ricerca scientifica in campo 
medico, biomedico o epidemiologico nel rispetto dei li- 
miti e delle condizioni di seguito indicate. 


1. Ambito di applicazione. 


La presente autorizzazione è rilasciata: 


a) alle università, agli altri enti o istituti di ricerca 
e società scientifiche, nonché ai ricercatori che operano 
nell’ambito di dette università, enti, istituti di ricerca e ai 
soci di dette società scientifiche; 


b) agli esercenti le professioni sanitarie e agli orga- 
nismi sanitari nei limiti di cui all’art. 2, comma 2, del 
codice di deontologia e buona condotta per i trattamenti 
di dati personali per scopi statistici e scientifici (Allegato 
A.4 al Codice). 


Il trattamento dei dati oggetto della presente autoriz- 
zazione può essere altresì effettuato da persone fisiche o 
giuridiche, enti, associazioni e organismi privati, nonché 
da soggetti specificatamente preposti al trattamento quali 
incaricati o responsabili (ricercatori, monitor, commissio- 
ni di esperti, organizzazioni di ricerca a contratto, labora- 
tori di analisi, ecc.) (articoli 4, comma 1, lettera f), 28, 29 
e 30 del Codice). 
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2. Finalità del trattamento: ricerca scientifica in campo 
medico, biomedico o epidemiologico. 


1. La presente autorizzazione è rilasciata quando: 


il trattamento è necessario per la conduzione di studi, 
non aventi significativa ricaduta personalizzata sull’inte- 
ressato, effettuati con dati raccolti in precedenza a fini di 
cura della salute o per l’esecuzione di precedenti progetti 
di ricerca ovvero ricavati da campioni biologici prelevati 
in precedenza per finalità di tutela della salute o per l’ese- 
cuzione di precedenti progetti di ricerca e 


la ricerca è effettuata sulla base di un progetto, 0g- 
getto di motivato parere favorevole del competente comi- 
tato etico a livello territoriale, secondo le modalità di cui 
all’art. 3 del codice di deontologia e buona condotta per i 
trattamenti di dati personali per scopi statistici e scientifi- 
ci (Allegato A.4 al Codice). 


Gli studi oggetto della presente autorizzazione possono 
riguardare anche le relazioni tra i fattori di rischio e la sa- 
lute umana, o mirano a valutare la sicurezza e l’efficacia 
di farmaci o di dispositivi medici nella pratica clinica, o a 
verificare l’appropriatezza prescrittiva, oppure vertono su 
eventi sanitari di tipo diagnostico, terapeutico o preventi- 
vo, ovvero sull’utilizzazione di strutture socio-sanitarie. 


2. La presente autorizzazione non riguarda gli scopi 
della ricerca che possono essere realizzati, nel caso con- 
creto, mediante: 


il trattamento di dati anonimi; 


il trattamento di dati riferiti ad interessati che sia 
possibile contattare al fine di rendere l’informativa e ac- 
quisirne il consenso. 


3. Categorie di dati oggetto di trattamento. 


Prima di iniziare o proseguire il trattamento i sistemi 
informativi e i programmi informatici sono configurati 
riducendo al minimo l’utilizzazione di dati personali e di 
dati identificativi, in modo da escluderne il trattamento 
quando le finalità perseguite nei singoli casi possono es- 
sere realizzate mediante, rispettivamente, dati anonimi od 
opportune modalità che permettano di identificare l’inte- 
ressato solo in caso di necessità, in conformità all’art. 3 
del Codice. 


Il trattamento può riguardare unicamente i dati per- 
sonali strettamente pertinenti ai sopra indicati scopi, ivi 
compresi quelli ricavati da campioni biologici, salvo che 
questi non costituiscano «dati genetici» ai sensi dell’au- 
torizzazione n. 8/2016 rilasciata dal Garante in virtù 
dell’art. 90 del Codice. 


Il trattamento di dati genetici resta infatti autorizza- 
to nei limiti e alle condizioni individuati nella predetta 
autorizzazione. 


4. Impossibilità di informare gli interessati. 


L’autorizzazione riguarda il trattamento dei dati degli 
interessati da includere nella ricerca che non è possibile 
contattare al fine di fornire l’informativa - a causa della 
sussistenza di una delle seguenti ragioni, considerate del 
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tutto particolari o eccezionali, documentate nel progetto 
di ricerca: 


1. Motivi etici riconducibili alla circostanza che 
l’interessato ignora la propria condizione. Rientrano in 
questa categoria le ricerche per le quali l'informativa sul 
trattamento dei dati da rendere agli interessati comporte- 
rebbe la rivelazione di notizie concernenti la conduzione 
dello studio la cui conoscenza potrebbe arrecare un danno 
materiale o psicologico agli interessati stessi (possono ri- 
entrare in questa ipotesi, ad esempio, gli studi epidemio- 
logici sulla distribuzione di un fattore che predica o possa 
predire lo sviluppo di uno stato morboso per il quale non 
esista un trattamento). 


2. Motivi di impossibilità organizzativa riconducibi- 
li alla circostanza che la mancata considerazione dei dati 
riferiti al numero stimato di interessati che non è possibile 
contattare per informarli, rispetto al numero complessivo 
dei soggetti che si intende coinvolgere nella ricerca, pro- 
durrebbe conseguenze significative per lo studio in termi- 
ni di alterazione dei relativi risultati; ciò avuto riguardo, 
in particolare, ai criteri di inclusione previsti dallo studio, 
alle modalità di arruolamento, alla numerosità statistica 
del campione prescelto, nonché al periodo di tempo tra- 
scorso dal momento in cui i dati riferiti agli interessati 
sono stati originariamente raccolti (ad esempio, nei casi 
in cui lo studio riguarda interessati con patologie ad ele- 
vata incidenza di mortalità o in fase terminale della ma- 
lattia o in età avanzata e in gravi condizioni di salute). 


Con riferimento a tali motivi di impossibilità orga- 
nizzativa, è autorizzato il trattamento dei dati di coloro 
i quali, all’esito di ogni ragionevole sforzo compiuto per 
contattarli, anche attraverso la verifica dello stato in vita, 
la consultazione dei dati riportati nella documentazione 
clinica, l’impiego dei recapiti telefonici eventualmente 
forniti, nonché l’acquisizione dei dati di contatto presso 
l’anagrafe degli assistiti o della popolazione residente, ri- 
sultino essere al momento dell’arruolamento nello studio: 


deceduti o 
non contattabili. 


Resta fermo l’obbligo di raccogliere il consenso al trat- 
tamento dei dati degli interessati inclusi nella ricerca in 
tutti i casi in cui, nel corso dello studio, sia possibile ren- 
dere loro un’adeguata informativa e, in particolare, lad- 
dove questi si rivolgano al centro di cura, anche per visite 
di controllo. 


5. Modalità di trattamento. 


Il trattamento dei dati oggetto della presente autoriz- 
zazione è effettuato nel rispetto delle disposizioni del 
codice di deontologia e buona condotta per i trattamenti 
di dati personali per scopi statistici e scientifici (Allegato 
A.4 al Codice) e unicamente con operazioni strettamente 
indispensabili alla conduzione dello studio. 


Ove la ricerca non possa raggiungere i suoi scopi senza 
l’identificazione, anche temporanea, degli interessati, nel 
trattamento successivo alla raccolta retrospettiva dei dati, 
sono adottate tecniche di cifratura o utilizzati codici iden- 
tificativi oppure altre soluzioni che, considerato il numero 
dei dati trattati, li rendono non direttamente riconducibili 
agli interessati, permettendo di identificare questi ultimi 
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solo in caso di necessità. In questi casi, i codici utilizzati 
non sono desumibili dai dati personali identificativi de- 
gli interessati, salvo che ciò risulti impossibile in ragione 
delle particolari caratteristiche del trattamento o richieda 
un impiego di mezzi manifestamente sproporzionato e sia 
motivato, altresì, per iscritto, nel progetto di ricerca. 


L’abbinamento al materiale di ricerca dei dati identifi- 
cativi dell’interessato, sempre che sia temporaneo ed es- 
senziale per il risultato della ricerca, è motivato, inoltre, 
per iscritto. 


6. Comunicazione e diffusione. 


I soggetti individuati al paragrafo 1) che agiscono in 
qualità di titolari del trattamento, anche unitamente ad al- 
tri titolari, possono comunicare tra loro i dati personali 
oggetto della presente autorizzazione nella misura in cui 
rivestano il ruolo di promotore, di centro coordinatore 0 
di centro partecipante e l’operazione di comunicazione 
sia indispensabile per la conduzione dello studio. 


I dati idonei a rivelare lo stato di salute degli interes- 
sati, nonché quelli relativi alla vita sessuale e all’origine 
razziale ed etnica utilizzati per la conduzione dello studio 
non possono essere diffusi. I risultati delle ricerche posso- 
no essere diffusi in forma aggregata, ovvero secondo mo- 
dalità che non rendano identificabili gli interessati neppu- 
re tramite dati identificativi indiretti, anche nell’ambito di 
pubblicazioni. 


7. Conservazione dei dati e dei campioni. 


Nel quadro del rispetto dell’obbligo previsto dall’art. 11, 
comma |, lettera e) del Codice, i dati e i campioni biologi- 
ci utilizzati per l'esecuzione della ricerca sono conservati 
mediante tecniche di cifratura o l’utilizzazione di codici 
identificativi oppure di altre soluzioni che, considerato il 
numero dei dati e dei campioni conservati, non li rendono 
direttamente riconducibili agli interessati, per un periodo 
di tempo non superiore a quello necessario agli scopi per 
i quali essi sono stati raccolti o successivamente trattati. 


A tal fine, è indicato nel progetto di ricerca il periodo 
di conservazione, successivo alla conclusione dello stu- 
dio, al termine del quale i predetti dati e campioni sono 
trasformati in forma anonima. 


8. Custodia e sicurezza. 


Fermo restando l’obbligo di adottare le misure minime 
di sicurezza previste dal Codice (articoli 33-35 e AII. B) 
al Codice), sono impiegati dal/i titolare/i del trattamento, 
ciascuno per la parte di propria competenza in relazione 
al ruolo ricoperto nel trattamento dei dati e alle conse- 
guenti responsabilità, specifiche misure e accorgimenti 
tecnici per incrementare il livello di sicurezza dei dati 
trattati per l’esecuzione dello studio in conformità alle in- 
dicazioni contenute nelle «Linee guida per i trattamenti di 
dati personali nell’ambito delle sperimentazioni cliniche 
di medicinali» adottate dal Garante con provvedimento 
del 24 luglio 2008 (doc. web n. 1533155). 


Ciò, sia nella fase di memorizzazione o archiviazione 
dei dati (e, eventualmente, di raccolta e conservazione dei 
campioni biologici) sia nella fase successiva di elabora- 
zione delle medesime informazioni, nonché nella succes- 
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siva fase di trasmissione dei dati al promotore o ai sog- 
getti esterni che collaborano con il primo per l’esecuzione 
dello studio. Sono adottati, in particolare: 


a. idonei accorgimenti per garantire la protezione dei 
dati dello studio dai rischi di accesso abusivo ai dati, furto 
o smarrimento parziali o integrali dei supporti di memo- 
rizzazione o dei sistemi di elaborazione portatili o fissi 
(ad esempio, attraverso l’applicazione parziale o integra- 
le di tecnologie crittografiche a file system o database, 
oppure tramite l’adozione di altre misure informatiche di 
protezione che rendano inintelligibili i dati ai soggetti non 
legittimati) nelle operazioni di registrazione e archivia- 
zione dei dati effettuate mediante strumenti elettronici; 


b. protocolli di comunicazione sicuri basati sull’uti- 
lizzo di standard crittografici nella trasmissione elettroni- 
ca dei dati raccolti nell’ambito dello studio a un database 
centralizzato in cui sono memorizzati o archiviati, nonché 
nella trasmissione in via telematica dei dati dello studio al 
promotore o ai soggetti esterni di cui lo stesso promotore 
si avvale per la conduzione dello studio. Laddove detta 
trasmissione sia effettuata mediante supporto ottico (CD- 
ROM) è designato un incaricato della ricezione presso il 
promotore ed è utilizzato, per la condivisione della chiave 
di cifratura dei dati, un canale di trasmissione differente 
da quello utilizzato per la trasmissione del contenuto; 


c. tecniche di etichettatura, nella conservazione e 
nella trasmissione di campioni biologici, mediante codi- 
ci identificativi, oppure altre soluzioni che, considerato il 
numero di campioni utilizzati, li rendono non direttamen- 
te riconducibili agli interessati, permettendo di identifica- 
re questi ultimi solo in caso di necessità; 


d. con specifico riferimento alle operazioni di elabo- 
razione dei dati dello studio memorizzati su un database 
centralizzato, è necessario adottare: 


idonei sistemi di autenticazione e di autorizzazio- 
ne per gli incaricati in funzione dei ruoli e delle esigenze 
di accesso e trattamento, avendo cura di utilizzare cre- 
denziali di validità limitata alla durata dello studio e di 
disattivarle al termine dello stesso; 


procedure per la verifica periodica della qualità e 
coerenza delle credenziali di autenticazione e dei profili 
di autorizzazione assegnati agli incaricati del trattamento; 


sistemi di audit log per il controllo degli accessi al 
database e per il rilevamento di eventuali anomalie. 


9. Trasferimento all’estero. 


Ove sia essenziale per il risultato della ricerca trasferire 
dati idonei a rivelare lo stato di salute, nonché quelli rela- 
tivi alla vita sessuale e all’origine razziale ed etnica degli 
interessati inclusi nello studio in Paesi non appartenenti 
all'Unione europea, in assenza del consenso espresso, in 
forma scritta, degli interessati (art. 43, comma I, lettera 
a), del Codice), il trasferimento è autorizzato dal Garante 
in presenza degli ulteriori presupposti di cui all’art. 43 del 
Codice, o in conformità agli articoli 44 e 45 del Codice. 


10. Richieste di autorizzazione. 


I titolari del trattamento che rientrano nell’ambito di 
applicazione della presente autorizzazione non sono te- 
nuti a presentare una richiesta di autorizzazione a questa 
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Autorità, qualora il trattamento che si intende effettuare 
sia conforme alle sue prescrizioni. 


Le richieste di autorizzazione pervenute o che perver- 
ranno, anche successivamente alla data di adozione del 
presente provvedimento, devono intendersi accolte nei 
termini di cui al provvedimento medesimo. 


Il Garante non prenderà in considerazione richieste di 
autorizzazione, ai sensi dell’art. 110 del Codice (ultima 
parte), per trattamenti da effettuarsi in difformità alle pre- 
scrizioni del presente provvedimento, salvo che, ai sensi 
dell’art. 41 del Codice, il loro accoglimento sia giustifi- 
cato da circostanze o da situazioni non considerate nella 
presente autorizzazione. 


11. Efficacia temporale. 


La presente autorizzazione ha efficacia dal 1° gennaio 
2017 fino al 24 maggio 2018, tenuto conto che a decor- 
rere dal 25 maggio 2018 sarà applicabile il regolamento 
(UE) 2016/679 (relativo alla protezione delle persone fisi- 
che con riguardo al trattamento dei dati personali, nonché 
alla libera circolazione di tali dati e che abroga la diret- 
tiva 95/46/CE) entrato in vigore il 24 maggio 2016, sal- 
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ve le modifiche che il Garante ritenga di dover apportare 
in conseguenza di eventuali novità normative rilevanti 
in materia e ferme restando le determinazioni eventual- 
mente adottate dall’ Autorità in applicazione del citato 
regolamento. 


La presente autorizzazione sarà pubblicata nella Gaz- 
zetta Ufficiale della Repubblica italiana. 


Roma, 15 dicembre 2016 
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SoRro 


Il relatore 
CALIFANO 


Il segretario generale 
BusIa 


16A08991 


VITTORIA ORLANDO, redattore 


DELIA CHIARA, vice redattore 


(WI-GU-2016-SON-047) Roma, 2016 - Istituto Poligrafico e Zecca dello Stato S.p.A. 


MODALITÀ PER LA VENDITA 


La «Gazzetta Ufficiale» e tutte le altre pubblicazioni dell’Istituto sono in vendita al pubblico: 


— presso il punto vendita dell'Istituto in piazza G. Verdi, 1 - 00198 Roma 7 06-8549866 


— presso le librerie concessionarie riportate nell’elenco consultabile sui siti www.ipzs.it e 
www.gazzettaufficiale.it. 


L'Istituto conserva per la vendita le Gazzette degli ultimi 4 anni fino ad esaurimento. Le richieste per 
corrispondenza potranno essere inviate a: 


Istituto Poligrafico e Zecca dello Stato S.p.A. 

Vendita Gazzetta Ufficiale 

Via Salaria, 691 

00138 Roma 

fax: 06-8508-3466 

e-mail: informazioni@gazzettaufficiale.it 
avendo cura di specificare nell'ordine, oltre al fascicolo di GU richiesto, l'indirizzo di spedizione e di 
fatturazione (se diverso) ed indicando i dati fiscali (codice fiscale e partita IVA, se titolari) obbligatori secondo il 
DL 223/2007. L'importo della fornitura, maggiorato di un contributo per le spese di spedizione, sarà versato 
in contanti alla ricezione. 


*545-410301161229*% 


